Heartbleed 和路由器/ASA/其他

信息安全 openssl 零日 心血来潮
2021-08-09 04:42:11

好的，所以我在几个小时前通过堆栈交换问题提要第一次听说了 heartbleed，在一阵恐慌之后，我意识到我通过 OpenSSL 保护的唯一 Web 服务器位于内部网络上。无论如何都打了补丁，但现在我一直在摸索其他服务是否易受攻击。具体来说，我想知道路由器类型的设备，例如：

  • 思科 ASA
  • DD-WRT 路由器
  • 支持 VPN 的 NAS

我相信其中一些将 OpenSSL 用于 SSH、点对点或站点到站点 VPN、它们为管理界面运行的迷你 Web 服务器等。但我一直在努力寻找正在运行的版本他们。例如，在我们的 DD-WRT 设备上，我什至无法在文件系统中找到 OpenSSL 命令，所以也许我对他们使用 OpenSSL 的看法是错误的。

我相当确定 ASA 运行的 8.4 在 0.9.8 上，因此是安全的（但我真的很想确认，因为我再次无法在 ASDM 或 telnet 接口中找到它），如果这是真的，我想我们可以假设旧版本的 ASA 也同样安全。

有没有人有关于这类设备的任何信息？

编辑：我一直在阅读这些 元数据问题（他们在 SO，但我认为他们可能与堆栈无关）试图找出这里的最佳实践是什么，因为我认为正确的答案实际上可能是这里的组合。这可能是我的错，因为我认为这实际上是一个复合问题本身。我考虑过发布我自己的答案并接受它，并结合了有关几种设备的可用信息，以及我发现的有关受影响的确切 DD-WRT 内部版本号的信息，但我想知道这是否有点粗鲁，因为你们已经提供了大部分它和那样我拒绝每个人接受的答案代表。我知道公认的做法（来自那些 meta.SO 链接）似乎是根据我自己的条件选择一个最好的，然后投票支持其余的（后者已经完成），但这里的不同答案对于我问题的不同部分同样适用。有什么想法吗？（甚至，这个编辑应该是它自己的 meta.sec 问题吗？当这个问题似乎已经在其他 meta 上被问了很多次时，我犹豫不决）

4个回答

我从思科支持工程师那里找到了一篇关于 ASA 的好帖子：

但是，如果您尝试查找 ASA（自适应安全设备）的 OpenSSL 版本，则可以从 ASA 发行说明中确定该版本。只需检查您关注的特定 ASA 映像的发行说明中的​​“开源”说明。例如，在 ASA 8.4 发行说明中，您会发现标题为“相关文档”的部分，其中包含指向“ASA 系列文档”的链接。从那里，您将找到“开源许可证”的链接。这将带您进入“开源”页面，该页面显示在 ASA 8.4 代码上运行的 OpenSSL 版本是“0.9.8f”

因此，8.4(x)和9.1(x)都不会受到攻击，因为它们使用的是 OpenSSL 版本 0.9.8f 的一部分

DD-WRT 确实使用 OpenSSL 1.0.1 并且容易受到攻击。22 小时前有一个更新发布到 trac 页面： http ://svn.dd-wrt.com/browser/src/router/openssl

您可以查看 CHANGES 文件以了解详细信息。

来自Cisco Security Advisory on OpenSSL Heartbeat Extension Vulnerability in Multiple Cisco Products（公告 ID：cisco-sa-20140409-heartbleed，2014 年 4 月 9 日）：

弱势产品

以下思科产品受此漏洞影响：

  • 适用于 iOS 的 Cisco AnyConnect 安全移动客户端
  • 思科桌面协作体验 DX650
  • Cisco Unified 7900、8900、9900 系列 IP 电话
  • 思科网真视频通信服务器 (VCS)

其他 Cisco 产品可能会受到此漏洞的影响。随着调查的继续，受影响产品的清单将会更新。

和

产品确认不受影响

以下思科产品已经过分析，不受此漏洞影响：

  • 思科自适应安全设备 (ASA) 软件
  • 思科 ACE 应用控制引擎
  • 适用于桌面平台的 Cisco AnyConnect 安全移动客户端
  • 适用于 Android 的 Cisco AnyConnect 安全移动客户端
  • Cisco CSS 11500 系列内容服务交换机

在我的 DD-WRT 路由器上，通过 ssh 访问

首先，我可以看到 /usr/lib/libssl* 上的版本是 0.9.8 也在所述 lib 上运行字符串显示 v 0.9.8 内

$ strings /usr/lib/libssl.so.0.9.8 | grep OpenS
OpenSSLDie
SSLv2 part of OpenSSL 0.9.8l 5 Nov 2009
SSLv3 part of OpenSSL 0.9.8l 5 Nov 2009
TLSv1 part of OpenSSL 0.9.8l 5 Nov 2009
DTLSv1 part of OpenSSL 0.9.8l 5 Nov 2009
OpenSSL 0.9.8l 5 Nov 2009

ps 我也在 filippo.io 的工具上获得了 EOF，但这只是测试的一部分（http://filippo.io/Heartbleed/faq.html#wentwrong）

其它你可能感兴趣的问题
上一篇如何保护 WordPress 安装？ 下一篇如何保护 MongoDB 实例？