ظهرت في برنامج OpenSSL، مفتوح المصدر الذي يُستخدم على نطاق واسع في تشفير اتصالات الويب، ثغرةٌ أمنية توصف بالخطيرة لدرجة أنها تمكن المخترقين الإلكترونيين من الوصول أبعد من مجرد بيانات المستخدم الخاصة.
حيث تتيح الثغرة الأمنية الجديدة, و التي تُدعى رسميًا CVE-2014-0160 للمخترقين الوصول إلى المفاتيح الرقمية الخاصة بالخوادم والمستخدمة في تشفير الاتصالات السابقة والقادمة.
وكانت شركة Codenomicon إلى جانب الباحث والمهندس الأمني لدى شركة Google، “نيل ميهتا” هما من اكتشف الثغرة وأطلقا عليها اسم Heartbleed.
وتسمح ثغرة Heartbleed للمخترقين بقراءة 64 كيلو بايت من الذاكرة على الخوادم ثم تعبأتها بالبيانات الأكثر حساسية.
وذكرت Codenomicon أن هذه الثغرة قادرة على الحصول على المفاتيح السرية المستخدمة في تحديد مزودي الخدمة وفي تشفير حركة البيانات، فضلًا عن الأسماء وكلمات المرور الخاصة بالمستخدمين، والمحتوى الفعلي.
وأضافت الشركة المختصة في الحلول الأمنية, أن الثغرة المكتشفة تسمح للمخترقين بالتنصت على الاتصالات وسرقة البيانات مباشرة من الخدمات والمستخدمين، كما تمكنهم من انتحال شخصية الخدمات والمستخدمين.
وتوصف ثغرة Heartbleed بأنها خطيرة للغاية، فهي لا تتطلب إجراء تغيير جذري لمواقع الإنترنت، بل تتطلب من أي شخص يستخدمها تغيير كلمات المرور.
وتؤثر الثغرة الأمنية على الإصدارين 1.0.1 و 1.0.2 التجريبي من “أوبن إس إس إل” الذي يأتي كبرنامج خوادم مع العديد من إصدارات “لينوكس” ويستخدم في العديد من خوادم الويب الشائعة.
ولإصلاح الثغرة، قامت الشركة المطورة لـ OpenSSL بإصدار التحديث 1.0.1g، الذي يجب على مشغلي مواقع الويب تثبيته إلى جانب إلغاء الشهادات الأمنية التي قد تكون تعرضت للاختراق.
يُذكر أن OpenSSL هو أحد تطبيقات بروتوكولات التشفير SSL أو TLS، وهي المسؤولة عن تفحص الاتصالات بين متصفح الويب والخادم.
