Kwetsbaarheden gevonden in OpenSSL

1 april 2021

In OpenSSL, veelgebruikte software voor het opzetten van HTTPS-verbindingen, zijn recent twee kwetsbaarheden gevonden die kunnen leiden tot verminderde bereikbaarheid van websites. Gebruik je OpenSSL? Controleer dan je OpenSSL versie zodat je zonodig snel kun updaten.

Wat is er precies aan de hand?

Op het veelgebruikte platform Github is eind maart een voorbeeld proof-of-concept exploit gepubliceerd waarin twee gevonden kwetsbaarheden aangetoond worden. Er is een kwetsbaarheid aanwezig in de implementatie van TLS renegotiation (CVE-2021-3449), die misbruikt kan worden voor een DoS (Denial of Service) aanval die resulteert in een server crash. De tweede kwetsbaarheid (CVE-2021-3450) maakt een Man in the Middle-aanval mogelijk, waardoor er bij een aanval informatie bekeken en gewijzigd kan worden.

Wat is de impact?

Het Nationaal Cyber Security Centrum (NCSC) heeft het risico van deze kwetsbaarheden ingeschaald als 'high', omdat de kans op misbruik op korte termijn en de potentiële schade zijn groot zijn. OpenSSL 1.1.1 j en lager zijn kwetsbaar, OpenSSL 1.0.2 is niet kwetsbaar. Servers zijn kwetsbaar als TLSv1.2 en renegotiation zijn ingeschakeld, wat de standaardconfiguratie is.

Wat kun je doen?

Het OpenSSL Project Team heeft een beveiligingsupdate uitgebracht voor de twee kwetsbaarheden in OpenSSL. Gebruik je OpenSSL versie 1.1.1j of lager? Update dan zo snel mogelijk naar versie 1.1.1k.