14.12.2017 TR-17-170 (TLS Uygulamalarına İlişkin Güvenlik Güncellemesi)

TR-17-170 (TLS Uygulamalarına İlişkin Güvenlik Güncellemesi)

 

Genel Bilgi

TLS uygulamalarında geçerli ve geçersiz PKCS#1 arasındaki çelişki nedeniyle ortaya çıkan Bleichenbacher tarzı yeni bir zafiyet tespit edilmiştir. Bahsi geçen zafiyet 1998 yılında Daniel Bleichenbacher tarafından keşfedilen yöntem ile benzerlik göstermektedir.

Etki

ROBOT (Return Of Bleichenbacher's Oracle Threat) olarak adlandırılan bu yöntemi kullanan saldırganlar, TLS pre-master anahtarını elde ederek RSA ile birlikte kullanılan şifreli TLS haberleşmeleri deşifre edebilir ve iletişimi açık bir şekilde görebilir.

Çözüm

Sistem yöneticilerinin chipher adı TLS_RSA ile başlayan bütün chiperları devre dışı bırakmaları tavsiye edilmektedir.

Zafiyet sadece HTTPS (SSL) implementasyonunda değil, tüm TLS kullanan sistemlerde orataya çıkabileceği için sistem yöneticilerinin TLS kullanan bütün uygulamalarını gözden geçirmeleri gerekmektedir. Ayrıca Cisco, Citrix, Erlang, F5 Networks, Legion of the Bouncy Castle, MatrixSSL, Oracle, wolfSSL ürünlerini kullanan kullanıcıların uygulamalarını güncellemeleri tavsiye edilmektedir.

Ulusal Siber Olaylara Müdahale Merkezi (USOM), kullanıcı ve sistem yöneticilerinin TR-17-170 zafiyet notunu okumalarını ve https://github.com/robotattackorg/robot-detect adresindeki python scripti ile sistemin zafiyeti içerip içermediğini tespit etmelerini tavsiye etmektedir.

Kaynaklar

1.https://robotattack.org/

2.https://www.kb.cert.org/vuls/id/144389

3.https://www.usenix.org/system/files/conference/usenixsecurity14/sec14-paper-meyer.pdf

4. https://archiv.infsec.ethz.ch/education/fs08/secsem/bleichenbacher98.pdf

5. https://www.cert.org/historical/advisories/CA-1998-07.cfm

6. https://tools.ietf.org/html/rfc5246#section-7.4.7.1

7. https://cwe.mitre.org/data/definitions/203.html

 

2017-12-14