Heartbleed (tạm dịch: Trái tim rỉ máu, tên mã: CVE-2014-0160), tên gọi mang hình tượng "rò rỉ dữ liệu quan trọng" được giới an ninh mạng đặt tên một lỗi trong OpenSSL (*) ở cấp độ "cực kỳ nghiêm trọng". Và bất ngờ hơn, lỗi nguy hiểm trong OpenSSL vừa được phát hiện đã hiện diện hơn hai năm qua, cho phép bất kỳ ai trên Internet có thể "chạm tay" đến tên, mật khẩu, và nội dung bạn gửi đến một website tưởng chừng bảo mật.
Lỗi tiếp tay tin tặc lần mò vào bộ nhớ máy chủ, nơi lưu trữ những dữ liệu nhạy cảm của người dùng như thông tin cá nhân, tên tài khoản, mật khẩu và có thể bao gồm cả thẻ tín dụng.
Khai thác lỗi, kẻ tấn công có thể "nghe trộm" thông tin liên lạc giữa trình duyệt Web và máy chủ Web, đánh cắp trực tiếp dữ liệu từ các dịch vụ và người dùng, đồng thời có thể mạo danh các dịch vụ và người dùng.
Hơn 66% website trên toàn cầu sử dụng OpenSSL. Rất nhiều website vẫn còn sử dụng phiên bản cũ OpenSSL, mang nguy cơ bị tấn công khai thác lỗi Heartbleed.
Những nghiên cứu ban đầu cho thấy Heartbleed chỉ ảnh hưởng đến các phiên bản OpenSSL từ 1.0.1 đến 1.0.1f và bản 1.0.2 beta. Rất nhiều website vẫn còn đang vận hành với phiên bản OpenSSL cũ sẽ bị đe dọa bởi lỗi. Hàng loạt những website lớn đang tích cực cập nhật phiên bản OpenSSL 1.0.1g vừa được phát hành.
Lỗi tiếp tay tin tặc lần mò vào bộ nhớ máy chủ, nơi lưu trữ những dữ liệu nhạy cảm của người dùng như thông tin cá nhân, tên tài khoản, mật khẩu và có thể bao gồm cả thẻ tín dụng.
Khai thác lỗi, kẻ tấn công có thể "nghe trộm" thông tin liên lạc giữa trình duyệt Web và máy chủ Web, đánh cắp trực tiếp dữ liệu từ các dịch vụ và người dùng, đồng thời có thể mạo danh các dịch vụ và người dùng.
Hơn 66% website trên toàn cầu sử dụng OpenSSL. Rất nhiều website vẫn còn sử dụng phiên bản cũ OpenSSL, mang nguy cơ bị tấn công khai thác lỗi Heartbleed.
Những nghiên cứu ban đầu cho thấy Heartbleed chỉ ảnh hưởng đến các phiên bản OpenSSL từ 1.0.1 đến 1.0.1f và bản 1.0.2 beta. Rất nhiều website vẫn còn đang vận hành với phiên bản OpenSSL cũ sẽ bị đe dọa bởi lỗi. Hàng loạt những website lớn đang tích cực cập nhật phiên bản OpenSSL 1.0.1g vừa được phát hành.
Mình sẽ hướng dẫn các bạn sửa lỗi này:
1. Đầu tiên các bạn kiểm tra xem server của mình cài phiên bản openssl nào dùng lệnh sau:
rpm -q openssl
dpkg-query -W openssl
2. Update phiên bản mới nhất openssl:
sudo yum update openssl
3. Restart lại tất cả các ứng dụng chạy openssl. Theo mình thì các bạn nên restart lại mysql và apche. Tham khảo lệnh sau:
service mysqld restart
service httpd restart
4. Sau cùng các bạn thu hồi và cài đặt lại SSL Certs/Keys của bạn.
Quảng cáo
