Alert GCSA-14005 - Vulnerabilita' in Openssl

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

******************************************************************

  Alert ID : GCSA-13060
  Data : 08 Aprile 2014
  Titolo : Vulnerabilita' in Openssl

******************************************************************


:: Descrizione del problema

  Una grave vulnerabilita' e' stata riscontrata nel software 
  OpenSSL.

  La vulnerabilita' riguarda solo determinate versioni e non 
  coinvolge versioni precedenti la 1.0.1

  Gli attacchi che sfruttano questa vulnerabilita' permettono ad 
  una terza parte di recuperare chiavi private, password e altri 
  tipi di credenziali scambiati durante comunicazioni SSL/TLS 
  basate su versioni vulnerabili
 
  Per una descrizione completa delle vulnerabilita' si rimanda
  alla sezione 'Riferimenti'.


:: Software interessato

  Tutti i sistemi e software che usano le seguenti versioni:

    OpenSSL 1.0.1 (fino alla versione 1.0.1f)
    OpenSSL 1.0.2 (fino alla versione 1.0.2-beta1)

  
:: Impatto

  Esposizione di informazioni sensibili


:: Soluzioni

  - Aggiornare il software alle versioni:

    OpenSSL 1.0.1g
    OpenSSL 1.0.2-beta2

  Se non fosse possibile un upgrade per il s.o. in uso ricompilare
  OpenSSL con l'opzione -DOPENSSL_NO_HEARTBEATS

  - Rigenerare i certificati usati su server affetti dalla 
  vulnerabilita'


:: Riferimenti

The Heartbleed Bug
  http://heartbleed.com/

OpenSSL news
  https://www.openssl.org/news/secadv_20140407.txt

ISC SANS
  http://isc.sans.edu/diary.html?storyid=17917 

Secunia
  http://secunia.com/advisories/57347

Mitre CVE
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0160/


GARR CERT Newsletter subscribe/unsubscribe:
http://www.cert.garr.it/alert/ricevi-gli-alert-di-cert
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.13 (GNU/Linux)

iEYEARECAAYFAlND2AIACgkQwZxMk2USYELIIgCfcKR+/7P+LfE+dDM+uZS8zISC
Z1cAoKSnN7njZs03azIVxY0dth8PTczh
=3L3S
-----END PGP SIGNATURE-----