CVE-2014-0160

HIGH(7.5)KEVWahrscheinlich ausgenutzt

OpenSSL Information Disclosure Vulnerability

Beschreibung

CVE-2014-0160, weithin bekannt als die Heartbleed-Schwachstelle, ist eine kritische Informationsoffenlegungs-Lücke in der kryptografischen Bibliothek OpenSSL. Die Schwachstelle befindet sich in der Implementierung der TLS- und DTLS-Heartbeat-Erweiterung, wo fehlende Grenzwertprüfungen es einem entfernten Angreifer ermöglichen, pro Anfrage bis zu 64 Kilobyte Serverspeicher auszulesen und dabei potenziell private Verschlüsselungsschlüssel, Benutzeranmeldedaten, Sitzungstoken und andere sensible Daten offenzulegen. Heartbleed betrifft OpenSSL-Versionen 1.0.1 bis 1.0.1f und hat weltweit Millionen von Webservern, Netzwerkgeräten und Anwendungen betroffen. Die CISA hat CVE-2014-0160 in den KEV-Katalog mit einer Behebungsfrist bis zum 25. Mai 2022 aufgenommen, und das EPSS-Perzentil von etwa 99,997 % bestätigt, dass es sich um eine der am meisten ausgenutzten Schwachstellen der Geschichte handelt.

KEV-Informationen

Hersteller
OpenSSL
Produkt
OpenSSL
Hinzugefügt am
4. Mai 2022
Fälligkeitsdatum
25. Mai 2022
Erforderliche Maßnahme
Apply updates per vendor instructions.

CVSS-Score

Vektorstring
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnen
Angriffsvektor
NETWORK
Angriffskomplexität
LOW
Erforderliche Privilegien
NONE
Benutzerinteraktion
NONE
Scope
UNCHANGED
Vertraulichkeitsauswirkung
HIGH
Integritätsauswirkung
NONE
Verfügbarkeitsauswirkung
NONE
Ausnutzbarkeitsscore
3.9
Auswirkungsscore
3.6

CWEs

CWE-125Out-of-bounds Read

Out-of-bounds Read

Betroffene Produkte

HerstellerProduktVersion
opensslopenssl>= 1.0.1, < 1.0.1g
filezilla-projectfilezilla server< 0.9.44
siemensapplication processing engine firmware2.0
siemenscp 1543-1 firmware1.1
siemenssimatic s7-1500 firmware1.5
siemenssimatic s7-1500t firmware1.5
siemenselan-8.2< 8.3.3
siemenswincc open architecture3.12
intellianv100 firmware1.20; 1.21; 1.24
intellianv60 firmware1.15; 1.25
mitelmicollab6.0; 7.0; 7.1; 7.2; 7.3; 7.3.0.104
mitelmivoice1.1.2.5; 1.1.3.3; 1.2.0.11; 1.3.2.2; 1.4.0.102
opensuseopensuse12.3; 13.1
canonicalubuntu linux12.04; 12.10; 13.10
fedoraprojectfedora19; 20
redhatgluster storage2.1
redhatstorage2.1
redhatvirtualization6.0
redhatenterprise linux desktop6.0
redhatenterprise linux server6.0

Mehrere CVSS-Bewertungen

Quelle: [email protected](Primary)
7.5
HIGH

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0(Secondary)
7.5
HIGH

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Referenzen

Schwachstellentyp

CWE-125: Out-of-bounds Read

Die Heartbleed-Schwachstelle in OpenSSL ist ein Out-of-bounds-Read, der auftritt, wenn der TLS-Heartbeat-Extension-Handler das Längenfeld in einer Heartbeat-Anfragenachricht nicht validiert. Die OpenSSL-Implementierung liest Speicher über die vorgesehene Puffergrenze hinaus und gibt bis zu 64 KB des angrenzenden Serverprozessspeichers an den Angreifer zurück, der kryptografische Schlüssel, Passwörter und andere sensible Informationen enthalten kann.

Mehr erfahren: CWE-125 — Out-of-bounds Read

Auswirkungsanalyse

CVE-2014-0160 ist über das Netzwerk aus der Ferne ohne jegliche Authentifizierung oder Benutzerinteraktion ausnutzbar, was die Ausnutzung im großen Maßstab trivial einfach macht. Die Schwachstelle erfordert lediglich das Senden einer manipulierten Heartbeat-Anfrage an jeden TLS-fähigen Dienst, der eine verwundbare OpenSSL-Version betreibt. Vertraulichkeit (Kritisch): Die primäre Auswirkung ist eine massive Informationsoffenlegung, da Angreifer wiederholt 64-KB-Blöcke des Serverspeichers auslesen können und dabei potenziell TLS-Private-Keys, Benutzerpasswörter, Sitzungscookies und andere vom Server verarbeitete Geheimnisse extrahieren. Integrität: Obwohl Heartbleed selbst eine reine Lese-Schwachstelle ist, ermöglichen gestohlene Private Keys Man-in-the-Middle-Angriffe, die die Integrität aller verschlüsselten Kommunikationen gefährden. Verfügbarkeit: Die Schwachstelle verursacht keinen direkten Denial-of-Service, aber der Behebungsprozess (Schlüsselrotation, Zertifikatsneuausstellung, erzwungene Passwortrücksetzungen) kann erheblich störend sein. Das EPSS-Perzentil von etwa 99,997 % platziert Heartbleed am absoluten Höhepunkt der Ausnutzungswahrscheinlichkeit.

Exploit-Reifegrad

Die CISA hat die aktive Ausnutzung von CVE-2014-0160 bestätigt, indem sie die Schwachstelle in den KEV-Katalog mit einer Behebungsfrist bis zum 25. Mai 2022 aufgenommen hat. Das EPSS-Perzentil von etwa 99,997 % weist auf nahezu universelle Ausnutzungsaktivität hin und macht Heartbleed zu einer der einzeln am meisten ausgenutzten Schwachstellen der Internetgeschichte. Öffentliche Exploit-Tools sind seit dem Tag der Veröffentlichung frei verfügbar, und die Ausnutzung erfordert keine spezialisierten Kenntnisse oder maßgeschneiderten Werkzeuge. Automatisierte Scanning-Tools können verwundbare Server innerhalb von Sekunden identifizieren und ausnutzen, und die Schwachstelle wird seit April 2014 aktiv sowohl von staatlich unterstützten Akteuren als auch von kriminellen Gruppen ausgenutzt.

Behebung

  1. OpenSSL sofort auf Version 1.0.1g oder höher aktualisieren oder den Heartbleed-Patch auf Ihre bestehende OpenSSL-Installation anwenden. Wie von der CISA gefordert: „Apply updates per vendor instructions.“ Überprüfen Sie die OpenSSL-Version auf allen Servern, Netzwerkgeräten und Anwendungen, die TLS verwenden.

  2. Alle TLS/SSL-Zertifikate widerrufen und neu ausstellen auf Servern, die verwundbare OpenSSL-Versionen ausgeführt haben, da die privaten Schlüssel möglicherweise kompromittiert wurden. Generieren Sie neue Schlüsselpaare vor der Anforderung von Ersatzzertifikaten und stellen Sie sicher, dass alte Zertifikate in Certificate Revocation Lists (CRLs) aufgenommen werden.

  3. Passwortrücksetzungen für alle Benutzer erzwingen, deren Anmeldedaten möglicherweise über verwundbare Server übertragen oder in deren Speicher abgelegt wurden. Dies umfasst Webanwendungspasswörter, API-Token, Sitzungskennungen und jegliches Authentifizierungsmaterial, das durch den Speicherleck offengelegt worden sein könnte.

  4. Alle Systeme und Anwendungen auditieren, die gegen OpenSSL gelinkt sind, um eine umfassende Patching-Abdeckung sicherzustellen. Dies umfasst Webserver (Apache, Nginx), VPN-Appliances, E-Mail-Server, Datenbankconnectoren und alle eingebetteten Geräte oder IoT-Systeme, die OpenSSL für TLS-Kommunikation verwenden.

  5. Überwachung auf Heartbleed-Ausnutzungsversuche implementieren, indem IDS/IPS-Signaturen eingesetzt werden, die manipulierte Heartbeat-Anfragen erkennen. Überprüfen Sie Serverprotokolle und Netzwerkverkehrsaufzeichnungen auf Hinweise auf vergangene Ausnutzung und ziehen Sie die Einschaltung eines Incident-Response-Teams in Betracht, wenn ein Verdacht auf Ausnutzung vor dem Patching besteht.

Technische Details

CVE-2014-0160 nutzt eine fehlende Grenzwertprüfung in OpenSSLs Implementierung der TLS-Heartbeat-Erweiterung (RFC 6520) aus, insbesondere in den Funktionen dtls1_process_heartbeat() und tls1_process_heartbeat(). Bei der Verarbeitung einer Heartbeat-Anfrage liest der Code die vom Benutzer angegebene Payload-Länge aus der Anfrage, überprüft jedoch nicht, ob die tatsächliche Payload der deklarierten Länge entspricht, und verwendet dann memcpy(), um die deklarierte Anzahl von Bytes aus dem Nachrichtenpuffer in die Antwort zu kopieren. Ein Angreifer sendet eine Heartbeat-Anfrage mit einer kleinen Payload (nur 1 Byte), deklariert jedoch eine Payload-Länge von bis zu 65.535 Bytes, wodurch OpenSSL über den Nachrichtenpuffer hinaus in den angrenzenden Prozessspeicher liest und den Inhalt an den Angreifer zurückgibt. Dieser Out-of-bounds-Read findet im Kontext des TLS-Prozesses des Servers statt, der typischerweise hochsensible Daten einschließlich privater Schlüssel, entschlüsselter Anwendungsdaten und Benutzeranmeldedaten in seinem Heap-Speicher vorhält.

Häufig gestellte Fragen

Wird CVE-2014-0160 aktiv ausgenutzt?

Ja, CVE-2014-0160 (Heartbleed) wird seit der öffentlichen Bekanntgabe im April 2014 aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen. Das EPSS-Perzentil von etwa 99,997 % macht sie zu einer der am meisten ausgenutzten Schwachstellen der Internetgeschichte, wobei automatisierte Tools eine triviale Ausnutzung ermöglichen.

Welche Produkte sind von CVE-2014-0160 betroffen?

CVE-2014-0160 betrifft OpenSSL-Versionen 1.0.1 bis 1.0.1f. Dies hat Auswirkungen auf eine Vielzahl von Produkten, einschließlich Webservern (Apache, Nginx), VPN-Appliances, E-Mail-Servern, Netzwerkgeräten und jeder Anwendung, die gegen eine verwundbare OpenSSL-Version für TLS-Unterstützung gelinkt ist.

Wie behebe ich CVE-2014-0160?

Aktualisieren Sie OpenSSL auf Version 1.0.1g oder höher auf allen betroffenen Systemen. Nach dem Patching widerrufen und erneuern Sie alle TLS-Zertifikate, da private Schlüssel kompromittiert sein könnten, generieren Sie neue Schlüsselpaare und erzwingen Sie Passwortrücksetzungen für Benutzer, deren Anmeldedaten möglicherweise offengelegt wurden.

Wie schwerwiegend ist CVE-2014-0160?

CVE-2014-0160 ist eine der schwerwiegendsten jemals entdeckten Schwachstellen mit einem EPSS-Perzentil von etwa 99,997 %. Heartbleed ermöglicht es nicht authentifizierten entfernten Angreifern, lautlos sensible Daten aus dem Serverspeicher zu extrahieren, einschließlich privater Verschlüsselungsschlüssel und Benutzeranmeldedaten, ohne Spuren in Standard-Serverprotokollen zu hinterlassen.

CVSS-Score

7.5
HIGH(7.5)

EPSS-Score

EPSS-Score100.00%
EPSS-Perzentil100.0%

Daten

Veröffentlicht7. April 2014
Zuletzt geändert17. Juni 2026
StatusAnalyzed
CVSS-Versionv3.1

Quick Links

Zurück zur CVE-Datenbank

Hilfe beim Schwachstellenmanagement?

Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.

Kontakt aufnehmen