¿Qué versiones de OS X se ven afectadas por Heartbleed?

¿Qué versiones de OS X vienen por defecto con las versiones afectadas de OpenSSL ?

En este momento, todo el tráfico de Internet está obstruido con la misma información genérica con respecto al error Heartbleed, sin prestar atención a Macintosh en el entorno. Estoy buscando información sobre el cliente Mac OS X y el servidor Mac OS X. En este momento no es práctico para mí verificar todas las Mac en el entorno para su versión específica de OpenSSL , pero ya tengo la información de la versión de Mac OS X para las máquinas afectadas.

macos openssl

— MDMoore313
fuente

Esto es más una preocupación para los servidores web que los clientes que solían conectarse a ellos. Su información puede verse comprometida incluso si su máquina no tiene la versión Heartbleed de OpenSSL.

— Ɱark Ƭ

@Mark true, pero ¿qué sucede cuando alguien quiere ejecutar una aplicación que convierte su máquina en un servidor web y utiliza la versión integrada de OpenSSL? Las aplicaciones de Mac tal vez no tanto, pero es por eso que también pregunté sobre el servidor OS X. Es probable que los móviles se vean más afectados, aunque muchas aplicaciones móviles intentan implementar esa funcionalidad.

— MDMoore313

Sin embargo, toda la pregunta pierde en gran medida el punto de que no son las máquinas cliente las que están en peligro, sino los servidores. Si está accediendo a un servidor que se ha visto comprometido, no importa si ejecuta MacOS X o Windows 95, está accediendo a un servidor que podría estar filtrando cualquier información que el servidor tenga sobre usted. Solo es de interés si está utilizando su propia Mac como servidor.

— gnasher729

No es verdad. El exploit puede ser utilizado por servidores maliciosos contra clientes que usan OpenSSL para establecer la conexión.

— Michael Hampton

@ gnasher729 No hay razón para que no puedas hacer una pregunta diferente sobre el punto que sientes que falta. Estas preguntas y respuestas son limitadas y se centran en qué versiones de OS X podrían tener sus contenidos de memoria expuestos a la red por un error de programación. No pretende ser una evaluación general de riesgos para ningún usuario de Mac o incluso sobre una imagen más grande.

— bmike

Respuestas:

Ninguna versión de OS X se ve afectada (ni tampoco iOS). Solo instalar una aplicación o modificación de terceros daría como resultado que un programa Mac u OS X tenga esa vulnerabilidad / error en OpenSSL versión 1.0.x

Apple desaprobó OpenSSL en OS X en diciembre de 2012, si no antes. Ninguna versión de OpenSSL que sea vulnerable a CVE-2014-0160 (también conocido como Heartbleed Bug )

Apple ofrece varias interfaces de aplicaciones alternativas que proporcionan SSL a los desarrolladores de Mac y tiene esto que decir sobre OpenSSL:

OpenSSL no proporciona una API estable de versión a versión. Por esta razón, aunque OS X proporciona bibliotecas OpenSSL, las bibliotecas OpenSSL en OS X están en desuso, y OpenSSL nunca se ha proporcionado como parte de iOS. Se desaconseja el uso de las bibliotecas OS X OpenSSL por parte de las aplicaciones.

Específicamente, la última versión de OpenSSL enviada por Apple es OpenSSL 0.9.8y 5 de febrero de 2013, que no parece tener el error de las versiones más nuevas de OpenSSL portado de nuevo al código para la versión de Apple de la biblioteca.

El PDF de esta documentación tiene algunos consejos claramente escritos para desarrolladores y algunas secciones que también son útiles para profesionales o usuarios con mentalidad de seguridad.

OpenSSL para desarrolladores de Mac y versión PDF de la Guía de servicios criptográficos de Apple

Teniendo esto en cuenta, el único problema restante sería el software adicional que se creó contra OpenSSL, por ejemplo, varios en Homebrew ( brew updateseguido de brew upgrade) o MacPorts ( port self updateseguido de port upgrade openssl) para actualizar a la versión parcheada 1.x de openSSL.

Además, puede usar mdfind / mdls para verificar los archivos llamados openssl en caso de que tenga otras aplicaciones que agrupen esa biblioteca como recomienda Apple, en lugar de depender de la versión "segura" que Apple todavía incluye con OS X.

for ff in `mdfind kMDItemFSName = "openssl"`; do echo "#### $ff"; mdls $ff | grep kMDItemKind; done

— bmike
fuente

Para aquellos que usan MacPorts, también han lanzado un OpenSSL actualizado. La ejecución port selfupdateseguida de port upgrade opensslle dará la versión 1.0.1g fija.

— coredumperror

@CoreDumpError Gracias por eso: incluí tus comandos en la respuesta para que la gente lo vea claramente al lado de la "receta" casera.

— bmike

También vale la pena señalar que el software del cliente de Apple utiliza Secure Transport, el propio código de Apple, no OpenSSL; Lo mismo ocurre con cualquier software que utilice las API de Cocoa o Core Foundation para comunicarse a través de la red.

— alastair

Curiosidad: ¿sabes por qué Apple dejó de usar OpenSSL?

— Roberto

FWIW: se encontró un error no relacionado en el código SSL de Apple hace menos de 2 meses: nakedsecurity.sophos.com/2014/02/24/…

— Elliot

He corrido openssl versionen cada Mac que pude tener en mis manos ¹ y todos muestran:

OpenSSL 0.9.8y 5 Feb 2013

... incluida la última versión actual: OS X 10.9.2.

Por lo tanto, puedo concluir que ninguna versión de OS X se ve afectada por Heartbleed.

^{¹ y también los que no pude y solo tuve SSH, aunque todavía probé, ¡las máquinas de producción son importantes! En general, probé alrededor de 30 máquinas con varias versiones de OS X.}

— grg
fuente

> Una verificación de límites faltantes en el manejo de la extensión de latido TLS se puede utilizar para revelar hasta 64k de memoria a un cliente o servidor conectado. > ** Solo las versiones 1.0.1 y 1.0.2-beta de OpenSSL se ven afectadas, incluidas 1.0.1f y 1.0.2-beta1. ** a través de openssl.org , (énfasis agregado). Entonces, como dijo Grgarside ...

— dwightk

@dwightk La pregunta era sobre qué versiones de OS X tienen una de las versiones OpenSSL efectuadas. Sin embargo, las versiones de OpenSSL que se realizan son bien conocidas.

— MDMoore313

Si bien OS X no se entrega con las versiones afectadas de OpenSSL, se recomienda encarecidamente que lo haga openssl versionen caso de que se haya instalado como parte de un paquete de terceros.

Por ejemplo, mi computadora informó OpenSSL 1.0.1f 6 Jan 2014porque se había incluido como una dependencia de algo que había instalado a través de MacPorts. sudo port upgrade outdatedresuelto esto, por supuesto.

— Daniel Perván
fuente

OS X es (no OSX).

— Peter Mortensen

@Peter Mortensen: Corregido :)

— Daniel Perván

Y, si tiene 1.x, idealmente verá OpenSSL 1.0.1g 7 Apr 2014la versión segura / parcheada.

— drfrogsplat