Критическая уязвимость DROWN

В начале марта хостерам было разослано срочное уведомление, которое сообщало о найденной уязвимости, которая носит название DROWN (Decrypting RSA using Obsolete and Weakened eNcryption) — Дешифрование RSA при использовании устаревшего и слабого шифрования. Она позволяет дешифровать защищённый трафик, если на серверной стороне не отключена поддержка протокола SSLv2 во всех серверах, оперирующих одним и тем же приватным ключом. Статистика приводится следующая: около 33% действующих веб-серверов подвержены данной уязвимости.

У всеобщей огласки известных уязвимостей есть и свои недостатки: многие юниоры, доселе только мечтавшие найти хоть какую-нибудь уязвимость, теперь знают, что такая существует. Потому риск при медленном реагировании возрастает.

На коммерческих серверах Клондайка используется TLS-протоколы, так что эта уязвимость — проблема других сервисов.

Сервера Клондайк:

А вот для примера статистика по некоторым популярным сайтам:

Не забывайте обновлять дистрибутивы хотя бы из репозиториев, связанных с безопасностью!

Оставить комментарий