OpenSSL Information Disclosure Vulnerability — The TLS and DTLS implementations in OpenSSL do not properly handle Heartbeat Extension packets, which allows remote attackers to obtain sensitive information.
Critical vulnerability in OpenSSL's TLS/DTLS Heartbeat Extension allows remote attackers to read sensitive memory contents including private keys, passwords, and session data. Known as 'Heartbleed', this flaw affects OpenSSL versions 1.0.1 through 1.0.1f and has active exploits in the wild.
تسمح هذه الثغرة الأمنية الحرجة للمهاجمين باستغلال عيب في معالجة حزم امتداد نبضات القلب في بروتوكولات TLS وDTLS لقراءة ما يصل إلى 64 كيلوبايت من ذاكرة الخادم في كل طلب. يمكن للمهاجمين الحصول على مفاتيح التشفير الخاصة وبيانات اعتماد المستخدمين وملفات تعريف الارتباط للجلسات والبيانات الحساسة الأخرى المخزنة في الذاكرة. تُعتبر من أخطر الثغرات الأمنية في تاريخ الإنترنت نظراً لانتشار استخدام OpenSSL الواسع وسهولة الاستغلال دون ترك آثار في السجلات. يمكن تنفيذ الهجوم بشكل متكرر لاستخراج كميات كبيرة من البيانات الحساسة من الأنظمة المتأثرة.
ثغرة حرجة في امتداد نبضات القلب TLS/DTLS في OpenSSL تسمح للمهاجمين عن بُعد بقراءة محتويات الذاكرة الحساسة بما في ذلك المفاتيح الخاصة وكلمات المرور وبيانات الجلسات. تُعرف هذه الثغرة باسم 'هارت بليد' وتؤثر على إصدارات OpenSSL من 1.0.1 إلى 1.0.1f وتوجد استغلالات نشطة لها في البرية.
1. Immediately upgrade OpenSSL to version 1.0.1g or later, or recompile OpenSSL with the -DOPENSSL_NO_HEARTBEATS flag to disable the vulnerable Heartbeat Extension feature across all affected systems and applications.
2. Revoke and reissue all SSL/TLS certificates and private keys that were in use during the vulnerability window, as they may have been compromised, and force password resets for all user accounts on affected systems.
3. Conduct thorough security audits and log analysis to identify potential exploitation attempts, implement network segmentation, deploy intrusion detection signatures for Heartbleed attacks, and establish continuous vulnerability scanning for OpenSSL versions.
1. الترقية الفورية لـ OpenSSL إلى الإصدار 1.0.1g أو أحدث، أو إعادة تجميع OpenSSL باستخدام علامة -DOPENSSL_NO_HEARTBEATS لتعطيل ميزة امتداد نبضات القلب المعرضة للخطر عبر جميع الأنظمة والتطبيقات المتأثرة.
2. إلغاء وإعادة إصدار جميع شهادات SSL/TLS والمفاتيح الخاصة التي كانت قيد الاستخدام خلال فترة الثغرة الأمنية لاحتمال اختراقها، وفرض إعادة تعيين كلمات المرور لجميع حسابات المستخدمين على الأنظمة المتأثرة.
3. إجراء عمليات تدقيق أمني شاملة وتحليل السجلات لتحديد محاولات الاستغلال المحتملة، وتنفيذ تجزئة الشبكة، ونشر توقيعات كشف التسلل لهجمات هارت بليد، وإنشاء فحص مستمر للثغرات الأمنية لإصدارات OpenSSL.