OpenSSL 0.9.8l schützt vor Authentifizierungs-Sicherheitslücke

OpenSSL ist in Version 0.9.8l verfügbar. Die neue Version ist eine Reaktion auf die Authentifizierungs-Sicherheitslücke CVE-2009-3555. Die Sicherheitslücke konnte allerdings bisher noch nicht geschlossen werden.

Da das Problem bei einer Neuverhandlung der TCP-Verbindung (TCP-Renegotiation) auftritt, wurde diese nun in der aktuellen OpenSSL-Version zunächst schlichtweg untersagt. Die Sicherheitslücke sollte dadurch nicht mehr ausgenutzt werden können.

Allerdings sollten Sie die neue Version vor der Verwendung auf Ihren Systemen gründlich testen, denn die fehlende Unterstützung der TCP-Renegotiation kann gegebenenfalls zu Problemen führen. Solange die Sicherheitslücke nicht vollständig behoben ist, sollten Sie jedoch möglichst die OpenSSL-Version 0.9.8l einsetzen und somit auf die TCP-Renegotiation verzichten.