Android 4.4.4 likwiduje groźną lukę istniejącą w OpenSSL
-
- Janusz Chustecki,
- 20.06.2014, godz. 21:55
Minęło tylko kilka tygodni od momentu, gdy Google udostępnił użytkownikom urządzeń Nexus wersję 4.4.3 systemu operacyjnego Android, a już pojawiła się kolejna wersja oprogramowania, oznaczona symbolem 4.4.4. Nie jest to jednak standardowy update, gdyż pośpiech spowodowany był tym, iż Android 4.4.4 likwiduje groźną lukę istniejącą w bibliotece OpenSSL (używanej do szyfrowania danych).
Obrazy systemu Android 4.4.4 dedykowane są dla urządzeń Nexus 4, 5, 7 i 10, mają numer komplilacji KTU84P i likwidują zagrożenie, która w bazie danych CVE (Common Vulnerabilities and Exposures) została oznaczona symbolem CVE-2014-0224. Zagrożenie to wykorzystuje lukę, jaka została zidentyfikowano w bibliotece OpenSSL (dołączanej do systemu Android), wykorzystywanej do bezpiecznego transmitowania danych (szyfrowanie) przy użyciu protokołów SSL (Secure Sockets Layer) i TLS (Transport Layer Security).
Podatność CVE-2014-0224 może być wykorzystywana do przeprowadzania ataków typu man-in-the-middle na sesje łączności OpenSSL nawiązywane między klientem i serwerem (wtedy gdy obie strony korzystają z OpenSSL, a serwer bazuje na oprogramowaniu OpenSSL 1.0.1 lub 1.0.2-beta1)). Należy przypomnieć, że na początku czerwca pojawiło się oprogramowanie OpenSSL 1.0.1h, które nie zawiera już tej luki.
Jak podaje firma Qualys (zajmująca się bezpieczeństwem sieci komputerowych), ok. 14% najpopularniejszych webowych witryn (których liczbę szacuje się na 155 tys.) jest podatnych na ataki wykorzystujące podatność CVE-2014-0224.
