Seguridad Openssl bug [CRÍTICO]

Extraño que nadie ha mencionado el nuevo y peligroso bug en openssl heartbleed

Para empezar solo afecta a Centos/RedHat 6.5 básicamente un bug en la librería openssl (usada por todos los programas de encriptación como certificados ssl, conexiones seguras a servicios como email, etc, mysql) permite a un atacante remoto obtener las keys de encriptación sin dejar rastro.

Información adicional en http://heartbleed.com/
Test para ver si el servidor es vulnerable: http://filippo.io/Heartbleed/

Solución, actualizar openssl a la última versión (ya los repositorios contienen la nueva versión corregida openssl-1.0.1e-16.el6_5.7) y reiniciar todos los servicios que usan encriptación (cpanel, exim, httpd, mysql)

 

Supongo que no se quería dar la oportunidad a "malos elementos" de aprovechar el bug para crear caos. Finalmente la gran mayoría al día de hoy ya deben tener sus servidores actualizados en este aspecto.

Un aspecto que si es raro es porqué en CloudFlare tuvieron conocimiento sobre este bug la semana pasada (04 de Abril) y la mayoría de la comunidad solo hasta el lunes?

 

Bue.. el bug está presente desde hace dos años y hasta hoy en la mañana muchas empresas que hacen vida aca seguían vulnerables (por curiosidad testee algunas al azar y notifiqué a sus contactos)
Es probablemente la peor vulnerabilidad en años, se puede leer la memoria remotamente y sin dejar rastros

En cuanto a Cloudflare, si me enteré de eso y a pesar que soy cliente y partner, no es justo que no hayan compartido la información, y el bug haya sido usado como propaganda

 

Una pregunta como puedo solucionar para no tener problemas en el servidor?

 

CODE, HTML o PHP Insertado:

rpm -qa| grep openssl
yum -y update openssl*
rpm -qa| grep openssl

Luego reinicia todos los servicios que usen encriptación (http, exim, mysql, etc) si no sabes cuales son, puedes reiniciar todo el servidor.

Altentivamente puedes correr " yum -y update ", esto actualizará todos los paquetes en lugar de solo openssl y reinicia el servidor

 

Gracias

 

La versión corregida es la openssl-devel-1.0.1e-16.el6_5.7. o superior, asegúrate que el último comando la muestra, y es MUY importante reiniciar los servicio o el servidor después del upgrade

 

Gracias por la información Datacenter1

 

Hemos reiniciado mediante solusvm, respecto para verificar cual es el comando?

 

rpm -qa| grep openssl o puedes repetir el test desde http://filippo.io/Heartbleed/

 

y esto se sabe ya desde hace unos días ?

Pues lo de resellerclub me ha llegado un aviso hace 5 minutos , solicitando que cambien los pass y que mañana a las 5.30 tendrá un breve tiempo de inactividad dicen .

 

Es público desde hace 3 días, pero el bug tiene dos años así que no hay forma de saber si había sido explotado antes o no, por lo que hay que asumir que si y cambiar todas las keys y passwords una vez parcheados los servidores

 

Cloudflare ha aclarado que recibió notificación de los descubridores del bug y estos le solicitaron no divulgar la información hasta tanto estuvieran listos las versiones actualizadas de openssl, por lo tanto no actuaron de mala fe al no publicar la información, solo tomaron medidas para proteger a sus clientes

 

Gracias por la informacion