하트블리드 (heartbleed) 취약점

openssl 취약점 heartbleed 하트블리드

중요내용

취약버젼 OpenSSL 1.0.1 ~ OpenSSL 1.0.1f OpenSSL 1.0.2-beta, OpenSSL 1.0.2-beta1 취약하지 않은 버젼 OpenSSL 0.9.x 대 버전 OpenSSL 1.0.0 대 버전 OpenSSL 1.0.1g 노출 가능 정보: SSL 서버 비밀키, 세션키, 쿠키  및 개인정보(ID/PW, 이메일주소 등)

버젼확인하기

Centos 5.X (rpm 운용시 기본적으로 openssl-0.9.8 대를 사용) [root@localhost ~]# rpm -qa | grep openssl openssl-0.9.8e-32.el5_11 openssl-devel-0.9.8e-32.el5_11 openssl-devel-0.9.8e-32.el5_11 openssl-0.9.8e-32.el5_11 Centos 6.X (rpm 운용시 기본적으로 openssl-1.0.X 대를 사용) [root@localhost ~]# rpm -qa | grep openssl openssl-devel-1.0.1e-30.el6.8.x86_64 openssl-1.0.1e-30.el6.8.x86_64

: 무턱대고 rpm 업데이트 혹은 높은 버젼으로 소스 설치하지 말고 연관성을 잘 찾아보고

  미러서버에 테스팅 이후 openssl 을 업데이트 한다.

취약점 내용 보기 (아래링크 참조) KRCERT 인터넷 침해대응센터

http://www.krcert.or.kr/kor/data/secNoticeView.jsp?p_bulletin_writing_sequence=20884

우선 SSL이 운영중인지 체크 

nmap 도메인 및 아이피 -p443 혹은 https://도메인 입력

취약버젼 확인 (로컬서버)

[root@localhost log]# openssl version -a OpenSSL 0.9.8e-fips-rhel5 01 Jul 2008 built on: Thu Oct 16 10:54:09 EDT 2014 platform: linux-x86_64 options:  bn(64,64) md2(int) rc4(ptr,int) des(idx,cisc,16,int) blowfish(ptr2)  compiler: gcc -fPIC -DOPENSSL_PIC -DZLIB -DOPENSSL_THREADS -D_REENTRANT -DDSO_DLFCN -DHAVE_DLFCN_H -DKRB5_MIT -I/usr/kerberos/include -DL_ENDIAN -DTERMIO -Wall -DMD32_REG_T=int -O2 -g -pipe -Wall -Wp,-D_FORTIFY_SOURCE=2 -fexceptions -fstack-protector --param=ssp-buffer-size=4 -m64 -mtune=generic -Wa,--noexecstack -DOPENSSL_USE_NEW_FUNCTIONS -fno-strict-aliasing -DOPENSSL_BN_ASM_MONT -DSHA1_ASM -DSHA256_ASM -DSHA512_ASM -DMD5_ASM -DAES_ASM OPENSSLDIR: "/etc/pki/tls" engines:  dynamic

취약 버전 확인

choman-pc ~ # nmap -sS -sV -P0 -T4 도메인 -p443 PORT    STATE SERVICE  VERSION 443/tcp open  ssl/http Microsoft IIS httpd 5.0 Service Info: OS: Windows; CPE: cpe:/o:microsoft:windows

: 실제 리눅스 서버에 APM 운영중이지만 제대로 출력되지는 않는다

openssl 명령어로 확인하기

openssl s_client -connect 123.456.789.113:443 -ssl2 openssl s_client -connect 123.456.789.113:443 SSL-Session:     Protocol  : TLSv1     Cipher    : DHE-RSA-AES256-SHA

: 정확히 확인은 힘들다

실제서버의 SSL 버젼은 아래와 같다

OpenSSL 0.9.8e-fips-rhel5

도메인 버젼 확인 사이트

https://www.ssllabs.com/ssltest/index.html

취약점 확인 사이트

https://filippo.io/Heartbleed/ http://check.ssltool.com/도메인

해결방법

Redhat 계열 시스템 의존성을 고려하여 시스템 및 openssl 업데이트 yum update    혹은 취약하지 않은 openssl 소스 버젼을 수동으로 컴파일 하면 된다.

: 보다 자세한 부분은 인터넷침해대응센터 게시물 확인 (krcert 아래 링크 확인)

참고사이트

http://blog.naver.com/thescream/220242952994 http://www.krcert.or.kr/kor/data/secNoticeView.jsp?p_bulletin_writing_sequence=20884