On 10 Apr 2014, at 16:40, Luca BRUNO <[email protected]> wrote: > Guido Serra <[email protected]> wrote: > >>> Macchine, domanda: cosa mi dite di tutti i tablet e smartphone in >>> giro ? >> >> e perche? di grazia? sono macchine client? non vedo dove stia il >> problema > > https://github.com/Lekensteyn/pacemaker > > """ > The following clients have been tested against 1.0.1f and leaked memory > before the handshake: > > MariaDB 5.5.36 > wget 1.15 (leaks memory of earlier connections and own state) > curl 7.36.0 > git 1.9.1 (tested clone / push, leaks not much) > nginx 1.4.7 (in proxy mode, leaks memory of previous requests) > links 2.8 (leaks contents of previous visits!) > > links is a great example that demonstrates the effect of this bug on > clients. It is a text-based browser that leaks details including > headers (cookies, authorization tokens) and page contents.
Si ma mi sembra una semplice poc, voglio dire per metterla in atto un client vulnerabile deve contattare un server predisposto a recepire ad utilizzare questa vulnerabilità, anche se un client viene forzato a visitare un sito malevolo (tipo ti costringo a fare una curl su sito XXX) sui che info magnifiche leakano tipo: Content-Type: text/html ; charset=UTF-8. GET https://www.sitostacippa.com ripeto il bug è grave ma che abbia creato danni è abbastanza difficile, come la storia delle chiavi private è possibile ci sono le prove On 10 Apr 2014, at 16:49, Luca BRUNO <[email protected]> wrote: > Controprova: > "We can extract the private key successfully on FreeBSD after > restarting apache and making the first request with ssltest.py" > > https://twitter.com/1njected/status/453797877672706048/photo/1 Ma è abbastanza unlikely e poi come qualcuno ha già detto se prima che uscisse la CVE fosse stato abusato sarebbe uscita fuori qualche breach pesante. Continuo a pensare che ci si sta allarmando esageratamente Niko Usai m0gui - Keep calm & code in C --- pub 1024D/3BF6890C Key fingerprint = CEDD 4512 3248 4C9C 2493 FE56 2E55 A884 3BF6 890C server: pgp.mit.edu ________________________________________________________ http://www.sikurezza.org - Italian Security Mailing List
