OpenSSL wydał cztery poprawki dla nowych luk bezpieczeństwa wychwyconych dla wersji 1.0.1 oraz 0.9.8. Poprawki dotyczą w sumie 8 luk , z których dwie są oceniane jako umiarkowane i uważane za niskiego ryzyka.
Obie wspomniane luki dotyczą użytkowników DTLS. Nie naprawienie ich może wywołać atak DoS (Denial of Service). W pierwszej odpowiednio przygotowana wiadomości może spowodować błąd segmentacji serwera, w przypadku drugiej wyciek może wystąpić w funkcji dtls1_buffer_record.
Pozostałe luki zostały ocenione jako niskiego ryzyka.
Co należy zrobić?
Użytkownicy OpenSSL powinni zastosować programy naprawcze, w szczególności Ci, którzy stosują system DTLS.
Kod źródłowy jest dostępny pod adresem: https://www.openssl.org/source/
Nazwa firmy w pasku przeglądarki w sposób jednoznaczny identyfikująca właściciela serwisu jest elementem zwiększającym zaufanie do strony, ale uzyskanie samego certyfikatu wymaga nieco więcej działań od samego właściciela serwisu. 7 sekund - tylko tyle trwa wydanie certyfikatu na poziomie EV, jeżeli podmiot ubiegający się o certyfikat spełnia wszystkie wymogi formalne i dopełnił weryfikacji firmy.
Już 22 października 2019 r. Mozilla Firefox - wraz z udostępnieniem nowej wersji 70 - oznaczy wszystkie strony, które nadal nie korzystają z certyfikatu SSL jako "Niezabezpieczone" ("Not Secure").
Google Chrome - najpopularniezjesza przeglądarka internetowa na świecie - zaczyna weryfikować czy strony internetowe zabezpieczone certyfikatem SSL ładują treści zawsze z użyciem HTTPS. Tam, gdzie dojdzie do niezgodności (tzw. mixed content) zawartość będzie blokowana.