OpenSSL CVE-2016-0799: heap corruption via BIO_printf
There are a couple of issues with OpenSSL’s BIO_*printf() functions, defined in crypto/bio/b_print.c, that are set to be fixed in the forthcoming security release. The function that is primarily responsible for interpreting the format string and transforming this string and the functions arguments to a string is _dopr(). _dopr() scans the format string in an incremental fashion and employs doapr_o
OpenSSL Key Recovery Attack on DH small subgroups (CVE-2016-0701)
OpenSSL Key Recovery Attack on DH small subgroups (CVE-2016-0701) Usual Mandatory Disclaimer: IANAC (I am not a cryptographer) so I might likely end up writing a bunch of mistakes in this blog post... tl;dr The OpenSSL 1.0.2 releases suffer from a Key Recovery Attack on DH small subgroups. This issue got assigned CVE-2016-0701 with a severity of High and OpenSSL 1.0.2 users should upgrade to 1.0.2
OpenSSL command line Root and Intermediate CA including OCSP, CRL and revocation - Raymii.org
OpenSSL command line Root and Intermediate CA including OCSP, CRL and revocation Published: 03-03-2015 | Last update: 17-12-2018 | Author: Remy van Elst | Text only version of this article ❗ This post is over four years old. It may no longer be up to date. Opinions may have changed. These are quick and dirty notes on generating a certificate authority (CA), intermediate certificate authorities and
華麗なる因数分解:FREAK攻撃の仕組み - ぼちぼち日記
1. はじめに ちょうど今朝 OpenSSLをはじめとした様々なTLS実装の脆弱性の詳細が公表されました。 この InriaとMSRのグループは以前からTLSのセキュリティに関して非常にアクティブに調査・検証をしているグループで、今回も驚きの内容でした。 このグループは、TLSのハンドシェイク時の状態遷移を厳密にチェックするツールを開発し、様々なTLS実装の脆弱性を発見・報告を行っていたようです。 特にFREAKと呼ばれるOpenSSLの脆弱性(CVE-2015-0204)に関しては、ちょうど修正直後の1月初めに Only allow ephemeral RSA keys in export ciphersuites で見ていましたが、具体的にどのように攻撃するのかさっぱりイメージできず、あのグループだからまた超絶変態な手法だろうが、まぁそれほど深刻じゃないだろうと見込んでいました。 今回
ubuntu 14.04で一部HTTPSなサイトが見れない問題への解決 | Gehirn News
はじめまして、ゲヒルンニュース。イケメン職員のうみさまです。 今日は、ゲヒルンニュースの投稿数減少に歯止めをかけるため、一部のHTTPSなサイトに接続できない問題を解決する方法について書きます。 この問題はUbuntu14.04などのOpenSSL1.0.1aから1.0.1fを採用する環境において発生するようです。 まとめ ちょっと長いので、先にまとめだけ。 Ubuntu14.04などが採用するOpenSSL1.0.1fには、一部HTTPSサイトに接続できない問題がある。 1.0.1gで対処されているため、パッチングすることで解決が可能 OpenSSLは魔窟だった 現象の内容 先日、弊社が法人向けに提供しているPaaS(Ubuntu14.04を使用)にて、特定のHTTPSサイトに接続できない！という障害報告が上がりました。 調べてみると、確かに としても応答を受け取ることができず、一部のH
ImperialViolet - BoringSSL
Earlier this year, before Apple had too many goto fails and GnuTLS had too few, before everyone learnt that TLS heart-beat messages were a thing and that some bugs are really old, I started a tidy up of the OpenSSL code that we use at Google. We have used a number of patches on top of OpenSSL for many years. Some of them have been accepted into the main OpenSSL repository, but many of them don’t m
OpenSSL Valhalla Rampage
Many thanks to all of the awesome hackers that have made this release possible. Again, if you like the work that OpenBSD is doing, please donate here Provide a ressl config function that explicitly clears keys. Now that ressl config takes copies of the keys passed to it, the keys need to be explicitly cleared. While this can be done by calling the appropriate functions with a NULL pointer, it is s
OpenBSD has started a massive strip-down and cleanup of OpenSSL
OpenBSD has started a massive strip-down and cleanup of OpenSSL Contributed by phessler on 2014-04-15 from the how-i-learned-to-stop-worrying-and-shine-the-turd dept. The denizens of lobste.rs (and no doubt you, eagle-eyed reader!) have made note of the ongoing rototilling of the OpenSSL code in OpenBSD, and Joshua Stein (jcs@) has chimed in with a quick breakdown of the action thus far: Changes s
OpenOpenSSL
the main OpenOpenSSL pageAbout OpenOpenSSL Project Goals Hardware Platforms Daily Changelog Security Crypto Events Papers Press Commercial Support Getting OpenOpenSSL CDs/T-shirts/Posters Getting Releases Installing OpenOpenSSL Getting Source AnonCVS CVSync Web OpenOpenSSL Resources Manuals FAQ Patches Reporting Mailing Lists Application Packages Books that Help Supporting Open
OpenBSDがOpenSSLの大掃除に着手、「OpenOpenSSL」サイトも立ち上がる | スラド オープンソース
OpenBSDがOpenSSLの大掃除に着手しています（slashdot）。 たとえばlibssl/src/sslを見ると、CVSに罵倒と修正がひっきりなしに記録されています。 Heatbleed対策のパッチだけで満足しなかった理由は、彼らから見てHeartbleedが単なるバグや仕様の問題ではなく、セキュリティ意識の問題から産まれたものだからです。 何年も前から 「OpenSSL はサルが書いてるんだろう」と揶揄していたとおり、OpenSSL コードの品質が低いことをOpenBSD開発者たちは知っていましたが、それが意識や責任感の問題だという確信はまだなかったのかもしれません。 OpenBSD にはメモリ防護機構がありますので、Heartbleed脆弱性があっても当初、malloc.confにJオプションを付ければfree済みメモリはシュレッダーにかけられ秘密は漏れないだろうと思ったそう
Security: Heartbleed vulnerability
EngineeringSecurity: Heartbleed vulnerabilityOn April 7, 2014 information was released about a new vulnerability (CVE-2014-0160) in OpenSSL, the cryptography library that powers the vast majority of private communication across the Internet. This library… On April 7, 2014 information was released about a new vulnerability (CVE-2014-0160) in OpenSSL, the cryptography library that powers the vast ma
AWS から OpenSSL の脆弱性について AWS のサービスアップデート | アマゾン ウェブ サービス（AWS 日本語）
2014 年 4 月 8 日 CVE-2014-0160 で説明されている問題 (Heartbleed バグとも呼ばれます) の影響について、すべての AWS サービスを確認しました。以下にリストされているサービスを除き、サービスが影響を受けていないと判断したか、顧客のアクションを必要としない緩和策を適用できました。 Elastic Load Balancing: CVE-2014-0160 で説明されている問題の影響を受けるすべてのロードバランサーが、すべてのリージョンで更新されたことを確認できます。Elastic Load Balancing で SSL 接続を終了する場合、Heartbleed バグの影響を受けなくなります。追加の予防策として、Elastic Load Balancing ドキュメント (http://docs.aws.amazon.com/ElasticLoadBa
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
OpenSSL Security Advisory [3rd May 2016]
OpenSSH Security Advisory: x11fwd.adv
OpenSSL Security Advisory [28th Jan 2016]
Alternative chains certificate forgery (CVE-2015-1793) | OpenSSL Security Advisory [9 Jul 2015]
"make OPENSSL_NO_HEARTBLEED the default and only option. ok deraadt miod" - src/lib/libssl/src/ssl/t1_lib.c - view - 1.16
Blog | Moneytree