Niebezpiecznik

Pewna anonimowa grupa twierdzi, że 2 lata temu odkryła błąd podobny do Heartbleeda, ale na OpenSSH (rzekomo pozwala odczytywać z pamięci serwera hashe haseł i klucze).

Grupa zdecydowała się ujawnić dopiero teraz, bo na swoich honeypotach zauważyła, że ktoś inny wpadł na ten sam wektor ataku. Kod exploita nie jest jednak dostępny publicznie — został wystawiony na sprzedaż za 20 BTC (ok. 25 000 PLN) — ktoś chętny na zrzutkę? ;-)

Na tej stronie dostępne jest demo. O ile błąd tego typu wydaje się być prawdopodobny, to twardych i wiarygodnych dowodów na razie brak — niektórzy, wnioskując po rozmiarze źródeł, obstawiają, że to bzdura.

Przeczytaj także:

• NSA korzystało z luki Heartbleed “od lat”. Czy aby na pewno? I czy to w istocie jest teraz nasz największy problem?
• Exploity na systemy SCADA, na sprzedaż i za darmo
• Backdoor udający bibliotekę SSH, sprawdźcie swoje systemy pod kątem libkeyutils.so.1.9