Flüsterpost: Fahrt Updates eurer Rechner, der Heartbleed Bug macht OpenSSL Ärger!

8. Apr. 2014

2 Min. Lesezeit

28 Aufrufe

Programme haben eigene Webseiten, Projekte haben eigene Webseiten, der Friseursalon Haarmonie und der Backshop nebenan haben Webseiten… seit Neustem bekommen nun aber auch Bugs eigene Homepages. Alles über den die Sicherheit von SSL/TLS von OpenSSL betreffenden Heartbleed Bug lässt sich unter heartbleed.com nachlesen. Betroffen sind die OpenSSL-Versionen von 1.0.1 bis 1.0.1f, die wohl die meisten aktuellen Linux-Distributionen mitbringen…

Updates, die dem Heartbleed Bug den Garaus machen, standen bei mir schon heute morgen für Debian und Arch Linux zur Verfügung, und auch die anderen Distributionen werden das Sicherheitsupdate schon ausliefern. Nun liegt es an euch die Sicherheits-Updates auch zu installieren: besonders gerne vergisst man seine seinen testweise aufgesetzten Raspberry Pi in der Ecke, oder einen zum Experimentieren billig angemieteten Vserver im Netz!

Problematisch sind aber auch Embedded-Linux-Systeme wie Router oder NAS-Speicher. Auf diesen Geräten kommt meist auch ein Linux zum Einsatz und demzufolge setzen viele dieser Systeme auch OpenSSL ein — wenn man Pech hat inklusive dem Heartbleed-Bug. Mit einem einfachen Test kann man seine Systeme auf Heartbleed testen, die Synology Diskstations sind zum Beispiel für Heartbleed anfällig. Für ein Update solcher Systeme ist man leider vom Hersteller abhängig.

Christoph Langner

Hallo, ich bin Christoph – Linux-User, Blogger und pragmatischer Fan freier Software. Hier auf Linux und Ich schreibe ich seit 2006 über Linux im Allgemeinen, Arch Linux im Besonderen sowie über Android und andere Themen rund um freie Software. Gefällt dir, was du liest? Dann folg mir gerne auf Mastodon, Bluesky oder über die Social-Media-Kanäle des Blogs.

16 Kommentare zu „Flüsterpost: Fahrt Updates eurer Rechner, der Heartbleed Bug macht OpenSSL Ärger!“

diego
8. April 2014
Auf meinem Raspberry Pi wird nach wie vor „OpenSSL 1.0.1e 11 Feb 2013“ ($ openssl version) ausgeliefert. Hoffe mal, es dauert nicht allzu lange, bis Version g angeboten wird (ohne es selbst kompilieren zu müssen)…
Antworten
ekkehard
8. April 2014
…heute früh habe ich per Terminal (sudo apt-get update && sudo apt-get dist-upgrade) ein OpenSSL-Update unter Xubuntu 13.10 erhalten. Die Versionsnummer lautet jetzt:
1.0.1e-3ubuntu1.2(saucy-updates) statt vormals 1.01e-3ubuntu1(saucy).
Soweit ich das bisher verfolgt habe, sollte statt des „e“ ein „f“ erscheinen.
Andererseits, paranoid will ich auch nicht werden.
Jemand klügeres hier als ich 😀
Antworten
1. Christoph
  8. April 2014
  Das passt schon so 🙂 Im Changelog steht der Bugfix drinnen…
  
  openssl (1.0.1e-3ubuntu1.2) saucy-security; urgency=medium
  
  * SECURITY UPDATE: side-channel attack on Montgomery ladder implementation
  - debian/patches/CVE-2014-0076.patch: add and use constant time swap in
  crypto/bn/bn.h, crypto/bn/bnlib.c, crypto/ec/ec2mult.c,
  util/libeay.num.
  - CVE-2014-0076
  * SECURITY UPDATE: memory disclosure in TLS heartbeat extension
  - debian/patches/CVE-2014-0160.patch: use correct lengths in
  ssl/d1both.c, ssl/t1lib.c.
  - CVE-2014-0160
  
  -- Marc Deslauriers Mon, 07 Apr 2014 15:43:47 -0400
  
  http://changelogs.ubuntu.com/changelogs/pool/main/o/openssl/openssl_1.0.1e-3ubuntu1.2/changelog
  Antworten
ekkehard
8. April 2014
Danke @Christoph: habe auch just in diesem Moment eine Mail von „Posteo“ bekommen, dass deren Server geupdated sind.
Danke für die gerettete Nacht! Grüsse
Antworten
Jens
9. April 2014
Muss man nicht auch die Zertifikate bzw. die dazugehörigen Keys neu generieren?
Antworten
Marko
9. April 2014
Nicht nur das – man sollte auch sämtliche Webpasswörter erneuern, wenn die betroffenen Anbieterserver aktualisiert sind. Man weiss ja nicht, welche bösen Leute was abgefangen haben…
Antworten
ekkehard
9. April 2014
…so gesehen, müsste ich jeden Tag 3x meine Passwörter ändern.
Ein gewisses Grundvertrauen, ein Mangel an Naivität und,und…
gehört halt schon dazu.
Und wer hier mitliest, dem darf man Aufmerksamkeit wohl unterstellen!
Grüsse aud Düsseldorf
Antworten
meixx77
11. April 2014
Hab heute debian neu aufgesetzt apt-get update && apt-get Upgrade rein geworfen doch leider bekomm ich die 1.0.1e ist das bei debian nun right? Hab openssl zwar in der g version geladen und kompiliert abet seh nichts davon bitte um rat .
Antworten
1. Christoph
  11. April 2014
  Welche Debian-Version nutzt du? Wheezy? Du sollest eigentlich 1.0.1g-2 installiert haben, siehe http://metadata.ftp-master.debian.org/changelogs/main/o/openssl/openssl1.0.1g-2changelog Grüße, Christoph.
  Antworten
2. diego
  11. April 2014
  Ich hatte aber gestern nochmal apt-get update && apt-get upgrade gemacht und gesehen, dass openssl dabei war. Jetzt ist immer noch 1.0.1e drauf, aber vermutlich eine gefixte Version davon. Keine Ahnung, wie ich die genaue Version rauskriege, aber es gab ein Update von 1.0.1e auf 1.0.1e. 😀
  Antworten
meixx77
11. April 2014
Japs whezzy heute frisch aufgesetzt , bleibt leider bei 1.0.1e 🙁
Antworten
meixx77
12. April 2014
Oder hat wer ne source List das für whezzy das update hat mein mirror Server debian.lagis.at hats nicht ..
Antworten
ekkehard
12. April 2014
@meixx77 …geht’s noch? naja…

http://pkgs.org/download/openssl

such dir was aus!
Antworten
meixx77
12. April 2014
Gehts noch? Bitte ????

Ich bekomms dennoch nicht rein das openssl update bleibt 1.0.1e wie bei meinem vorposter.

außerdem herr Oberschlau es geht um eine debian source list nicht um den openssl download nur mal so zur info.
Antworten
ekkehard
12. April 2014
…steht mir nicht zu, hier weiter auf diesen Ton hin zu posten.
Schönes WE…
Antworten
Thomas
22. April 2014
Die aktuelle OpenSSL unter Wheezy ist 1.0.1e-2+deb7u7 (vom 17.4.) und enthält auch den Fix für Heartbleed backported.

Die g-Version ist eine neue Programmversion und wird daher nicht in Wheezy erscheinen. Die g ist aktuell in Jessie und Sid. Es ist nicht sinnvoll zu versuchen, die g-Version in Wheezy zu installieren (außer du weißt was du tust).

Bitte nicht mit den Versionsnummern durcheinanderkommen und dann in Panik verfallen. Alle Infos zu Updates gibts hier: https://www.debian.org/security/2014/
Antworten

Schreibe einen Kommentar Antwort abbrechen

Über den Blog

Seit 2006 probiere ich hier aus, was Linux, freie Software und die passende Hardware so hergeben – von Distributions-Tests bis zum Raspberry-Pi-Projekt. Praxisnah statt bloßem Nachrichtenticker.

Zuletzt auf Mastodon

Scene Composer in Aktion: Ein Screenshot wird geladen, in verschiedene 3D-Szenen wie Café, Gaming-Desktop, Homeoffice und Podcast-Studio eingesetzt, gedreht und gezoomt. Anschließend wird eine Vorschau gerendert.

Ich finde Screenshots als Aufmacher oft langweilig. In der Vergangenheit habe ich daher oft den Bildschirm im wahrsten Sinne des Wortes abfotografiert. Das bringt etwas Leben in die Artikel –…

Auf Mastodon ansehen →

Blog unterstützen

Gefällt dir, was du hier liest? Mit einer kleinen Spende hilfst du, Hosting und neue Testgeräte zu finanzieren – und sorgst nebenbei für den nötigen Kaffee.

Jetzt unterstützen

Flüsterpost: Fahrt Updates eurer Rechner, der Heartbleed Bug macht OpenSSL Ärger!

Ähnliche Beiträge

16 Kommentare zu „Flüsterpost: Fahrt Updates eurer Rechner, der Heartbleed Bug macht OpenSSL Ärger!“

Schreibe einen Kommentar Antwort abbrechen

Über den Blog

Zuletzt auf Mastodon

Meistgelesen

Kategorien

Schlagwörter

Adblocker? Alles gut.

Blog unterstützen