Heute hat das OpenSSL-Team die OpenSSL-Version 3,0,7 veröffentlicht. Diese Version enthält Korrekturen für zwei nennenswerte Sicherheitslücken mit dem Schweregrad „Hoch“ (CVE-2022-3786 und CVE-2022-3602) , die alle Versionen von OpenSSL 3,0,0 bis einschließlich 3,0,6 betreffen. Sicherheitsteams werden dazu aufgefordert, die betroffenen OpenSSL-Versionen zu ermitteln und so schnell wie möglich auf Version 3,0,7 zu aktualisieren.
Was ist OpenSSL?
OpenSSL ist ein Toolkit, das die sichere Kommunikation in Webservern und Anwendungen unterstützt. Daher ist es ein wesentlicher Bestandteil des Transport Layer Security (TLS)-Protokolls, das sicherstellt, dass über das Internet gesendete Daten vor neugierigen Blicken geschützt sind.
Warum sollten Sie sich darüber Gedanken machen?
Diese Sicherheitslücke wurde ursprünglich als „kritisch“ in OpenSSL eingestuft, wurde jedoch nach ihrer Bekanntgabe auf „hoch“ herabgestuft. Nach Angaben des OpenSSL-Teams ist es weniger wahrscheinlich, dass die für die Ausnutzung der Sicherheitslücke erforderlichen Umstände eintreten, als ursprünglich angenommen. Sowohl CVE-2022-3786 als auch CVE-2022-3602 sollten weiterhin gepatcht werden, auch wenn sie herabgestuft wurden. Die letzte schwerwiegende Sicherheitslücke in OpenSSL war der berüchtigte „Heartbleed“-Fehler vor acht Jahren.
Die Herausforderung besteht darin, es zu finden
Der Schlüssel zur Verringerung des Risikos für Ihr Unternehmen liegt darin, betroffene Implementierungen so schnell wie möglich zu identifizieren und zu beheben oder auf andere Weise die damit verbundenen Risiken zu mindern. Die Herausforderung beim Patchen weit verbreiteter Open-Source-Bibliotheken von Drittanbietern wie OpenSSL besteht jedoch darin, alle Stellen zu finden, an denen diese Bibliotheken unternehmensweit zum Einsatz kommen.
OpenSSL ist Quellcode, den Softwareanbieter kompilieren müssen; dieser wird potenziell auf verschiedene Weise bereitgestellt – von statisch in ihr Programm eingebundenen Komponenten bis hin zu dynamisch verknüpften Ressourcen. Für herkömmliche Schwachstellenscanner sind solche Abhängigkeiten schwierig (oder in vielen Fällen sogar unmöglich) zu erkennen. Aus diesem Grund erfordert die Ermittlung einen mehrschichtigen Ansatz.
Inwiefern kann Tanium SBOM dabei helfen?
Tanium hat kürzlich eine neue Funktion namens „ “ (Tanium Software Bill of Materials, SBOM) veröffentlicht, um Kunden dabei zu unterstützen, mit Softwarepaketen verbundene Bibliotheken von Drittanbietern zu identifizieren. Tanium SBOM ist eine Erweiterung von Tanium Asset.
Tanium SBOM nutzt einen einzigen Tanium-Agenten, um Echtzeit-Transparenz in komplexen Softwareumgebungen zu gewährleisten, sodass Ihr Unternehmen fundiertere Entscheidungen hinsichtlich des Endpunkt-Risikomanagements treffen kann.
Nach der Konfiguration von Tanium SBOM kennen Sie die Einzelheiten zu jeder Softwareanwendung in Ihrer Umgebung und wissen, wo sich anfällige Pakete befinden. Stellen Sie Tanium SBOM eine einfache Frage, und Sie erhalten eine Antwort aus Ihrer gesamten Umgebung – in großem Maßstab und innerhalb von nur wenigen Sekunden.
Sehen Sie sich dieses kurze Demovideo an, um zu erfahren, wie Tanium SBOM die OpenSSL-Sicherheitslücke beheben kann.
https://youtu.be/8McUTAFdyh8
So nutzen Sie Tanium SBOM zur Behebung des OpenSSL-Problems
Tanium SBOM unterstützt derzeit die Analyse folgender Ökosysteme: Java, JavaScript, Python, PHP, Ruby, GoLang-Binärdateien und OpenSSL-Shared-Libraries. Für die Installation und Konfiguration von SBOM-Inhalten sind einige zusätzliche Schritte erforderlich. Eine Schritt-für-Schritt-Anleitung zum Hinzufügen der SBOM-Attribute für OpenSSL finden Sie unter in unserem Artikel in der Tanium-Community unter.
Mit Tanium haben Sie folgende Möglichkeiten:
- Verstehen Sie jede Softwarekomponente zur Laufzeit, indem Sie Softwarepakete aufdecken und zerlegen, um alle einzelnen Komponenten zu untersuchen, ohne den Softwareanbieter einzubeziehen. Es kann „Thick-Client“-Dateien untersuchen und Einblicke in „Thin-Client“-Umgebungen gewinnen.
- Beheben Sie Sicherheitslücken oder Fehlkonfigurationen , die in diesen Komponenten festgestellt wurden.
- Ergreifen Sie Maßnahmen zur Risikominderung , indem Sie die Nutzung eines betroffenen Geräts einstellen, relevante Prozesse beenden oder Apps auf den betroffenen Endgeräten sogar vollständig entfernen.
Die Tanium-Plattform von kann Schwachstellen wie die heute in OpenSSL v3 entdeckten aufspüren und beheben und Ihr Unternehmen besser auf die nächste Schwachstelle in der Lieferkette vorbereiten.
Weitere Informationen, darunter auch, wie Sie OpenSSL in Ihrer Umgebung identifizieren können ( ), finden Sie in unserem Artikel in der Tanium-Community unter.
Wir werden die Entwicklungen im Zusammenhang mit dieser Sicherheitslücke aufmerksam verfolgen. Schauen Sie regelmäßig hier sowie in unserem Artikel in der Tanium-Community vorbei, sobald weitere Informationen verfügbar sind.
