Найдены TLS уязвимости в программах Cisco

017 Уязвимость под названием POODLE была обнаружена специалистами самой компании Cisco. Заявлено, что она присутствует в двух программных продуктах от этого разработчика. Это Cisco ASA (Adaptive Security Appliance) и дополнительный опциональный модуль Cisco Application Control Engine (ACESM). Названная брешь подвержена вероятным атакам по TLS нового типа. На данный момент активно ведётся разработка заплатки, поэтому дыра в безопасности может закрыться в самое ближайшее время.

Уязвимость возникла при недостаточно корректной реализации программного паддинга блочного шифра, использовавшегося в отдельном протоколе TLSv1 при запуске и применении режима сцепления отдельно взятых блоков шифротекста (название этой процедуры в рамках терминов Cisco — Cipher Block Chaining). Если злоумышленник пытался эксплуатировать такую брешь, гипотетически он мог получить доступ к расшифровке зашифрованных данных, которые являются скрытыми для неавторизованных пользователей.

Также специалисты компании добавили, что в серии Cisco ACE 4700 подобных программных проколов найдено не было, уязвимость POODLE там работать не будет. В то же время отмечается, что ряд сканеров могут произвести идентификацию данного ПО как имеющего схожие проблемы.

О дате выпуска обновлений Cisco пока не сообщает, но произойдёт это в ближайшее время. Сотрудники компании напоминают, что шифрование данных по каналам связи обеспечивает максимально возможную сохранность информации. Поэтому использование уязвимости для её расшифровки злоумышленниками маловероятна, но не исключена.

Сам по себе дешифратор требует значительных программных ресурсов и времени. Отчёт о бреши носит информационный характер, и не должен восприниматься в качестве критической ошибки их ПО. Уязвимость в POODLE обнаружена в октябре прошлого года Адамом Лэнгли из Google. Этот специалист пояснил, что данная брешь похожа на модифицированную версию SSL 3.0, а паддинг TLS выполняется по полной аналогии. Поэтому исправление ошибки – вопрос времени, методики дополнительной защиты данных известны уже давно.