מחשבים

מהי פגיעות ה"לב המדמם" (HeartBleed)?
בפשטות, זוהי פירצת אבטחה בספרייה קרדינלית המשמשת ליישומים אבטחה (קוד פתוח). הספרייה המדוברת היא המנוע להצפנת התקשורת בשרתים כגון APACHE, MYSQL וביישומי צד לקוח כגון Logmein ועוד.

מה משמעות גילוי הפירצה ?
המשמעות היא, שכל מחשב שמשתמש בגרסאות  1.0.1 עד 1.0.1f של הספריה OpenSSL היה חשוף לפריצה שעלולה הייתה לגרום לזליגת מספרי כרטיסי אשראי, סימאות, תעודות SSL, וכל מידע אחר שהיה בזכרון השרת. 

איך יודעים אם אתר חשוף כרגע ?
ניתן להשתמש באתר הזה - להזין אליו את כתובת האתר שאתם רוצים לבדוק וללחוץ על GO:
https://filippo.io/Heartbleed/
ישנו גם תוסף לדפדפ- chrome שנקרא chromebleed שעושה את הבדיקה ישירות מהדפדפדן.

איך ניתן לבדוק שרת לינוקס ?
תחילה נריץ את הפקודה:

sudo lsof | egrep "libssl|libcrypto" | cut -f 1 -d " " | sort | uniq

פקודה זו תניב רשימה של יישומים שמשתמשים בספרייה OpenSSL.

הפקודה הבא תתן רשימה של תיקיות בכונן הקשיח, כוון שיישומים רבים מגיעים עם הספרייה ולא משתמשים בספרייה של מערכת ההפעלה:

sudo find / -name libssl\*; sudo find / -name libcrypto\*


ב- centos או Redhat:

rpm -qa | grep openssl

ב- Debian\Ubuntu:

dpkg -l | grep openssl
ועכשיו בידקו את הגרסאות כמובן

איך נסרוק רשת שלמה ?

כלי מעולה שקבל שדרוג לטובת בדיקת הפרצה הינו masscan:
http://blog.erratasec.com/2014/04/using-masscan-to-scan-for-heartbleed.html#.U0jupnWSwuk

אפשר להשתמש ב-Nmap:
http://hackertarget.com/testing-heartbleed-with-the-nmap-nse-script/

Nagios קבל שדרוג גם כן לעניין:
http://www.nagios.com/heartbleed-tester

Nessus
http://www.tenable.com/blog/tenable-facilitates-detection-of-openssl-vulnerability-using-nessus-and-nessus-perimeter

חביב הקהל - Openvas
https://gist.github.com/RealRancor/10140249
 
שימו לב שחלק מהכלים הללו לא יבדקו פורטים אחרים מלבד 443.

איך מתקנים?
התיקון כמובן תלוי ביישום או במערכת ההפעלה אותה מתקנים. זה יכול להיות פעולה פשוטה כגון שדרוג באמצעות apt-get או yum, או שזה יחייב שדרוג מערכת מלא. חשוב מאד גם לייצר מחדש את כל המפתחות הפרטיים ותעודות ה- SSL. מספר קישורים לפלטפורמות שונות:

 Ubuntu:
http://discourse.ubuntu.com/t/the-heartbleed-bug/1607

 Centos 6:
http://lists.centos.org/pipermail/centos-announce/2014-April/020249.html

 AIX:
http://www.aixhealthcheck.com/blog?id=354

 HP-UX:
http://hpux.connect.org.uk/hppd/hpux/Languages/openssl-1.0.1g/

Solaris:
According to Oracle, Solaris is not vulnerable. ( http://support.oracle.com/rs?type=doc&id=1645479.1 )

Mysql:
http://www.mysqlperformanceblog.com/2014/04/08/openssl-heartbleed-cve-2014-0160/

PostgresSQL:
http://michael.otacoo.com/postgresql-2/testing-heartbleed-on-postgres/

MongoDB:
http://www.mongodb.com/blog/post/mongodb-response-heartbleed-openssl-vulnerability

CouchDB:
https://blogs.apache.org/couchdb/entry/couchdb_and_the_heartbleed_ssl