Herzblut

[ramoneastral]

http://heartbleed.com/
ist openssl in der syno firmware drin ?
lohnt es sich das selber zu fixen als laie ?

 

[dany]

Da auf der Synology-NAS ein Linux läuft, hat es auch openssl drauf.
Da ja ein fix (OpenSSL 1.0.1g) schon bei den meisten Distis gibts, wird Synology sicher bald nachreichen.

Hier die Problematik bei heise.de:
http://www.heise.de/newsticker/meldung/Der-GAU-fuer-Verschluesselung-im-Web-Horror-Bug-in-OpenSSL-2165517.html

Was ich eher erschreckender finde, was macht man mit all den Geräten wie Android oder sonst Embedded Systeme die die OpenSSL Bibliothek nutzen und sich im Internet tummeln.

 

[gizmo21]

wer mutig ist, kann eigenen server testen:http://filippo.io/Heartbleed

 

[Pulpi]

Eventuell wird das von Synology noch ins Update-2 übernommen!? Da bin ich mal gespannt

 

[gizmo21]

hoffentlich auch für 4.3

 

[MadLeo]

Könnte man openSSL nicht von Hand updaten und anschließend neue Zertifikate erzeugen? Ich bin allerdings überfragt wie ich das bei einem nicht-Debian System bewerkstellige...

 

[Phonix]

Habe vorhin mal auf der Konsole "openssl version" eingegeben und er hat mir 0.9.8 irgendwas angezeigt. Das ist ja noch die alte Version, die davon nicht betroffen ist. Andererseits unterstützt die Version ja eigentlich kein TLS 1.2 und PFS etc. TLS 1.2 wird aber unterstützt; weiß jemand wie das da abläuft? Hat Synology da wieder irgendwelche Änderungen in die alte Version reingepatcht?

 

[jahlives]

betroffen sind scheinbar alle 1.0.1-er Versionen bis zu g
Ältere Versionen sind anscheindend nicht betroffen
Den eigenen Server kann man z.B. hier testen: http://possible.lv/tools/hb/
Man könnte (aktuelles) openssl selber nochmals bauen und das -DOPENSSL_NO_HEARTBEATS setzen. Bei der Version auf meiner DS ist das Flag auf jeden Fall nicht gesetzt

ds1513> openssl version -a
WARNING: can't open config file: /usr/syno/ssl/openssl.cnf
OpenSSL 1.0.1e-fips 11 Feb 2013
built on: Tue Feb 11 19:49:21 CST 2014
platform: linux-elf
options:  bn(64,32) rc4(8x,mmx) des(ptr,risc1,16,long) idea(int) blowfish(idx) 
compiler: /usr/local/i686-linux-gnu/bin/i686-linux-gnu-ccache-gcc -fPIC -DOPENSSL_PIC -DOPENSSL_THREADS -D_REENTRANT -DDSO_DLFCN -DHAVE_DLFCN_H -DOPENSSL_NO_ERR -I/usr/local/i686-linux-gnu/include -DSYNO_X64 -DSYNO_CEDARVIEW -O2 -I/usr/syno/include -g -DSYNO_PLATFORM=CEDARVIEW -DL_ENDIAN -DTERMIO -O3 -fomit-frame-pointer -Wall -DOPENSSL_BN_ASM_PART_WORDS -DOPENSSL_IA32_SSE2 -DOPENSSL_BN_ASM_MONT -DOPENSSL_BN_ASM_GF2m -I/usr/syno/fips//include -DSHA1_ASM -DSHA256_ASM -DSHA512_ASM -DMD5_ASM -DRMD160_ASM -DAES_ASM -DVPAES_ASM -DWHIRLPOOL_ASM -DGHASH_ASM
OPENSSLDIR: "/usr/syno/ssl"

 

[gizmo21]

Also mein NAS ist nach einer Testseite (siehe oben) betroffen: hab neuestes FW 4.3-3827 Update 1
Auf die Konsole zum Testen der Version komme ich gerade von hier aus nicht.

 

[Phonix]

Hab DSM 5.0 Update 1 auf einer DS212, Konsole zeigt mir OpenSSL Version 0.9.8p an. Der Test oben sagt, mein Server ist verwundbar, eine andere Testseite sagt, alles in Ordnung

 

[Pulpi]

Bei mir schlägt der Test auch an:

Looking for TLS extensions on https://XXX

ext 65281 (renegotiation info, length=1)
ext 00035 (session ticket, length=0)
ext 00015 (heartbeat, length=1) <-- Your server supports heartbeat. Bug is possible when linking against OpenSSL 1.0.1f or older. Let me check.
Actively checking if CVE-2014-0160 works: Server is vulnerable, please upgrade software ASAP.

Wie man bei heise nachlesen kann, sind scheinbar ältere Versionen nicht betroffen!?

Update Versionen vor der aktuellen 1.0.1 wie das auf älteren Systemen noch verbreitete OpenSSL 0.9.8 sind offenbar nicht betroffen.

 

[blinddark]

Das gleiche Problem besteht auch mit dsm 5.0u2.. Ich hatte es mal installiert..
http://ukdl.synology.com/download/criticalupdate/update_pack/4458-2/

 

[tops4u]

Echt jetzt? Wie schlau ist es auf einer zweifelhaften Internetseite einen Hostnamen einzugeben um zu prüfen ob dieses System verwundbar ist???

Schon mal nach der Firma gesucht oder versucht Informationen über die Seite zu erlangen?

 

[Pulpi]

Ich denke mal nicht das heise einfach so einen "gefährlichen" Link in ihrem Artikel zum Testen des Systems veröffentlichen wird...

 

[Oceanwaves]

Das gleiche Problem besteht auch mit dsm 5.0u2.. Ich hatte es mal installiert..
http://ukdl.synology.com/download/criticalupdate/update_pack/4458-2/

Nicht verwunderlich, da Update 2 am 03.04. gebaut wurde. Vermutlich war der Fehler in openssl bei Synology zu diesem Zeitpunkt noch nicht bekannt. Ich möchte allerdings auch nicht auf Update 2 warten, um dieses Loch zu fixen. Da sollte Synology asap einen Fix verteilen.

 

[gizmo21]

Ich denke mal nicht das heise einfach so einen "gefährlichen" Link in ihrem Artikel zum Testen des Systems veröffentlichen wird...

weder: http://filippo.io/Heartbleed noch http://possible.lv/tools/hb/ hat der Heise-Verlag veröffentlicht.

 

[jahlives]

Ich denke mal nicht das heise einfach so einen "gefährlichen" Link in ihrem Artikel zum Testen des Systems veröffentlichen wird...

ich seh nicht wieso dieser Link gefährlicher sein soll als die Links bei Heise z.B. für den Fritzbox-Test

 

[dany]

Jeder der Paranoia hat, kann z.B. folgenden Code bei Github holen, bez. den code anschauen und dann einrichten:
https://github.com/FiloSottile/Heartbleed

 

[Oceanwaves]

weder: http://filippo.io/Heartbleed noch http://possible.lv/tools/hb/ hat der Heise-Verlag veröffentlicht.

http://possible.lv/tools/hb/ hat Golem veröffentlicht.

Der andere Link wurde im Synology-Forum gepostet.

 

[dany]

Wer gar niemanden trauen will, der kann folgenden Befehl auf der Shell ausführen:

Beispiel wo Lücke vorhanden

/usr/syno/bin/openssl s_client -connect sbb.ch:443 -tlsextdebug  2>&1| grep 'server extension "heartbeat" (id=15)' || echo safe