Czy Heartbleed wpływa na moduł równoważenia obciążenia AWS?

19

Luka Heartbleed OpenSSL ( http://heartbleed.com/ ) dotyczy OpenSSL od 1.0.1 do 1.0.1f (włącznie)

Używam usługi Amazon Elastic Load Balancer do kończenia połączeń SSL. Czy ELB jest wrażliwy?

amazon-web-services openssl amazon-elb heartbleed tajemniczy
źródło
Sam próbowałem uzyskać na to bezpośrednią odpowiedź. Ten post na forum sugeruje tak , ale nie pochodzi z oficjalnego źródła, więc nie jestem pewien, jak daleko mu ufam (z wyjątkiem tego, że w razie wątpliwości skłaniam się do założenia, że ​​jestem zagrożony bezpieczeństwem).
voretaq7
Czy jest dostępny kod POC do wykorzystania tego, więc nie musimy czekać na odpowiedzi dostawców / ufać im?
Mark Wagner,
http://possible.lv/tools/hb/ sprawdzi, czy puls jest włączony, ale nie będzie w stanie wykryć różnicy między wersjami poprawioną i niepoprawioną. http://filippo.io/Heartbleed/ twierdzi, że jest prawdziwym POC i wydawało się, że działa w moim przypadku, ale jego serwer został zatrzaśnięty, a autor nie opublikował źródła.
ryba rozpuszczalna
1
filippo.io opublikował teraz link „ rozwidl
Ben Walding

Odpowiedzi:

32

Aktualizacja 09.04.2014 01:00 EST

Amazon stwierdził, że wszystkie elastyczne moduły równoważące obciążenie zostały zaktualizowane i są już dłużej podatne na ataki. Zalecają także obracanie certyfikatów.

Aktualizacja 08.04.2014 14:56 CST

Amazon stwierdził, że wszystkie elastyczne moduły równoważące obciążenia oprócz tych w US-EAST-1 zostały zaktualizowane, a zdecydowana większość w US-EAST-1 została zaktualizowana.

Aktualizacja 08.04.2014 21:58 PST

Amazon potwierdził, że ma to wpływ na platformę ELB i obecnie pracuje nad złagodzeniem exploita. Link do oficjalnej odpowiedzi znajduje się poniżej.

Tak to jest. Najbardziej prawdopodobne . Kilka osób stwierdziło, że otrzymało odpowiedzi od Amazon, że problem ten dotyczy ELB. Szczerze mówiąc, dotyczy to większości aplikacji SSL, z wyjątkiem godnego uwagi Cloudflare, który prawdopodobnie otrzymał wczesne ostrzeżenie.

Dowody sugerujące jako takie:

https://forums.aws.amazon.com/thread.jspa?threadID=149690#jive-message-535248

Zobacz też:

http://aws.amazon.com/security/security-bulletins/aws-services-updated-to-address-openssl-vulnerability/

Jakub
źródło