BEDROHUNG
Eine als HollowByte bezeichnete Schwachstelle in OpenSSL erlaubt es nicht authentifizierten Angreifern, Server per Denial-of-Service (DoS) lahmzulegen – mit einer lediglich 11 Byte großen Nachricht. Patches stehen bereit.
Wie das Red Team von Okta dokumentiert, liegt die Ursache darin, dass betroffene OpenSSL-Versionen die im TLS-Handshake deklarierte Nachrichtengröße bereits anhand des Headers im Speicher reservieren – bevor die eigentliche Payload vollständig empfangen und geprüft wurde. Ein Angreifer sendet dazu eine 11 Byte große Nachricht, deren Header einen sehr viel größeren Message Body ankündigt, und wiederholt dies über mehrere Verbindungen hinweg. Der Server weist daraufhin trotz geringer übertragener Datenmenge beträchtliche Mengen an Speicher zu.
Zwar gibt OpenSSL die Buffer nach Verbindungsabbruch wieder frei, die GNU C-Bibliothek (glibc) behält kleine bis mittelgroße Speicherzuweisungen jedoch häufig im Prozessspeicher. Die Resident Set Size (RSS) wächst dadurch dauerhaft an – der Server bleibt auch nach Verbindungsabbruch überlastet. Erst ein Neustart des Prozesses gibt den Speicher vollständig frei, wie auch BleepingComputer berichtet.
Die Schwachstelle wurde in OpenSSL 4.0.1 behoben und auf die Versionen 3.6.3, 3.5.7, 3.4.6 und 3.0.21 zurückportiert. Da OpenSSL in zahlreichen Webservern, Laufzeitumgebungen und Datenbanken eingebunden ist – darunter NGINX, Apache, Node.js, Python, PHP, MySQL und PostgreSQL – ist die potenzielle Angriffsfläche erheblich.
Was jetzt zu tun ist:
- Umgehend auf die gepatchten OpenSSL-Versionen aktualisieren.
Alle eingesetzten Bibliotheksversionen in den eigenen Umgebungen prüfen – insbesondere in Webservern, Laufzeitumgebungen und Datenbanksystemen, die OpenSSL bündeln.
PRÄVENTION & DETEKTION
Mit regelmäßigen Pentests und einem strukturierten Schwachstellenmanagement lässt sich das Risiko solcher Schwachstellen wie HollowByte deutlich reduzieren.
EDR hilft dabei, einen HollowByte-Angriff schnell zu erkennen, zu untersuchen und die Auswirkungen einzudämmen
Autor: Michael Niers
