Muokataan sivua Heartbleed

[[Tiedosto:Heartbleed.svg|right|200px]]
'''Heartbleed''' (CVE-2014-0160) on 7. huhtikuuta 2014 paljastunut haavoittuvuus [[OpenSSL]]-kirjaston heartbeat-protokollassa.

* https://www.kyberturvallisuuskeskus.fi/fi/varoitukset?limit=20&offset=0&query=CVE-2014-0224
* [https://web.archive.org/web/20140414025145/https://www.cert.fi/varoitukset/2014/varoitus-2014-01.html https://www.cert.fi/varoitukset/2014/varoitus-2014-01.html] {{InternetArchive}}
* [https://web.archive.org/web/20170317183630/https://www.viestintavirasto.fi/kyberturvallisuus/haavoittuvuudet/2014/haavoittuvuus-2014-049.html https://www.cert.fi/haavoittuvuudet/2014/haavoittuvuus-2014-049.html] {{InternetArchive}}

==Haavoittuvat OpenSSL-versiot==
Oman OpenSSL:n version voi tarkastaa komentamalla:
 $ openssl version

* <tt>OpenSSL 1.0.1</tt> - <tt>1.0.1f</tt> ovat haavoittuvia
* <tt>OpenSSL 1.0.1g</tt> ei ole haavoittuva
* <tt>OpenSSL 1.0.0</tt>-haara ei ole haavoittuva
* <tt>OpenSSL 0.9.8</tt>-haara ei ole haavoittuva

Bugi on ollut OpenSSL-kirjastossa joulukuusta 2011 alkaen. OpenSSL:n haavoittuva versio 1.0.1 julkaistiin vakaana versiona 14.3.2014. OpenSSL 1.0.1g, joka julkaistiin 7.4.2014, korjaa bugin.

==Haavoittuvat jakelut==
===Android===
[[Android]]in OpenSSL-version voi tarkistaa komentamalla esimerkiksi terminaaliemulaattorissa tai [[SSH]]-yhteyden yli:
 $ grep ^OpenSSL\  /system/lib/libssl.so
Esimerkiksi Android 2.3.7 ([[CyanogenMod]] 7.2) antaa tulosteeksi <tt>OpenSSL 1.0.0a 1 Jun 2010</tt>.

OpenSSL 1.0.0 -haara ei ole haavoittuva, eli sitä ei tarvitse päivittää. Mikäli käytössä on Androidin versio joka on haavoittuva, ei Google välttämättä aio päivittää sitä, vaan se tulee päivittää itse.

Myös Google Play -sovelluskaupasta löytyy joitain '''suljetun lähdekoodin''' työkaluja heartbleedin havaitsemiseen.

===CentOS===
* https://lists.centos.org/pipermail/centos-announce/2014-April/020249.html

===Debian===
* https://www.debian.org/security/2014/dsa-2908

===Fedora===
* https://lists.fedoraproject.org/pipermail/announce/2014-April/003205.html

===openSUSE===
* http://lists.opensuse.org/opensuse-security-announce/2014-04/msg00004.html

===Red Hat Enterprise Linux===
* https://rhn.redhat.com/errata/RHSA-2014-0376.html
* https://access.redhat.com/site/announcements/781953
[[Red Hat Enterprise Linux]] 6.4 ja sitä edeltävät versiot (RHEL 5 ja 4) eivät ole haavoittuvia. RHEL 6.5 ja RHEL 7 BETA ovat haavoittuvia. Korjaava päivitys: <tt>openssl-1.0.1e-16</tt>

===Sailfish===
[[Sailfish]]in versio [https://together.jolla.com/question/38508/release-notes-software-version-10516-paarlampi/ 1.0.5.16, Paarlampi] korjaa heartbleed-haavoittuvuuden. Sitä aiemmat versiot ovat haavoittuvia.

===Ubuntu===
* https://www.ubuntu.com/usn/usn-2165-1/

==Ohjelmat==
===Tor===
* https://blog.torproject.org/blog/openssl-bug-cve-2014-0160

==Aiheesta muualla==
* https://heartbleed.com/
* https://www.openssl.org/news/secadv_20140407.txt
* [https://web.archive.org/web/20170216130100/https://www.seancassidy.me/diagnosis-of-the-openssl-heartbleed-bug.html http://blog.existentialize.com/diagnosis-of-the-openssl-heartbleed-bug.html] {{InternetArchive}}
* [https://web.archive.org/web/20140913202155/https://blog.ipredator.se/2014/04/how-to-test-if-your-openssl-heartbleeds.html https://blog.ipredator.se/2014/04/how-to-test-if-your-openssl-heartbleeds.html] {{InternetArchive}}
* https://filippo.io/heartbleed/

==Katso myös==
* [[LibreSSL]] - turvallisempi vaihtoehto OpenSSL-kirjastolle.

[[Luokka:Haavoittuvuudet]]
[[Luokka:Tietoturva]]