heartbleed - ceho vseho se vlastne tyka

[Dan Lukes]

On 04/10/14 20:20, Jozef Drahovsky:
> Je to tak alebo sa mylim?
> Pridavam odkaz na trochu obsirne napisany clanok k danej problematike:
> http://www.osel.cz/index.php?clanek=7558


To je tak divny preklad, ze je nejspis strojovy.

Pokud vim ja, tak chyba spocina v nekontrolovani pripustnych hodnot 
zaslanych parametru, takze klient si dokaze vyzadat odpoved vetsi, nez 
je na serveru buffer na ni vyhrazeny. Ergo zpet dostane nejen tento 
buffer, ale taky vse, co je za nim, az do velikosti 64kB.

Problem je v tech datech "za koncem" - to je pamet, kterou openssl 
pouziva a nachazi se v ni ledacos - obcas treba i privatni klic v 
nezasifrovane podobe. Jindy tam mohou byt casti komunikace z predchozich 
requestu, takze treba zadane jmeno a heslo, session cookie.

A tyhle unikajici data jsou to, co z toho dela ten zasadni problem. Mj. 
i proto, ze zpetne nedokazes zjistit, jestli tento utok nekdo pouzil a 
nejaka data ziska, takze jako paranoik bys mel vymenit nejen X509 klice, 
ale taky napriklad donutit vsechny uzivatele ke zmene hesel ...

Dan