Af Torben B. Sørensen, 11/10/16
Artiklen blev oprindeligt publiceret den 1/10/2003
Det udbredte krypteringsprogram Openssl har tre sårbarheder, der minder om dem, der sidste år blev opdaget i SNMP (Simple Network Management Protocol). Sikkerhedshullerne er lukket i de nyeste versioner.To af de nyopdagede sårbarheder kan føre til, at systemet kan sættes ud af drift. Den tredje kan i teorien tillade en angriber at afvikle programkode på offerets system.
Sårbarhederne minder om dem, der i 2002 blev opdaget af forskere ved det finske Oulu-universitet. I første omgang man disse sårbarheder i det meget udbredte SNMP-system, der bruges til overvågning og kontrol af netværksudstyr. Men senere viste det sig, at problemet var mere omfattende, da det har at gøre med standarden Abstract Syntax Notation One (ASN.1), som også anvendes i anden software.
Openssl understøtter protokollerne TLS og SSL. De anvender ikke direkte ASN.1, men de er afhængige af objekter, der gør det. De tre sårbarheder findes i dette samspil mellem TLS/SSL og ASN.1.
Udviklergruppen bag Openssl har udsendt versionerne 0.9.7c og 0.9.6k, hvori fejlene er rettet. Alle tidligere versioner er sårbare.