15年OpenSSL漏洞影響Android版Chrome，Google發布緊急更新

OpenSSL基金會日前公布修復6個安全漏洞，其中有一個編號CVE-2014-0224漏洞已經默默存在15年之久，駭客可以藉此發動一個中間人攻擊（MITM），來竊聽採用OpenSSL加密連線的封包，資安人員也將此一漏洞稱之為「CCS注入漏洞」（CCS Injection Vulnerability）。

臺灣戴夫寇爾共同創辦人徐念恩表示，伺服器端與用戶端都使用該OpenSSL漏洞的軟體時，才會發生被竊聽的風險，不像先前HeartBleed漏洞，只要伺服器端使用openSSL就會發生問題遭駭。徐念恩表示，例如Andrdoi版Chrome瀏覽器就使用了有此漏洞的OpenSSL程，因此，他建議改用其他手機瀏覽器來降低危險。Google也緊急更新Chrome for Android內建的OpenSSL程式版本，推出35.0.1916.141新版本，預計最近幾天會發布到各國Google Play市集。

CCS注入漏洞能降低伺服器加密嚴謹度，更容易發動中間人攻擊

根據發現此漏洞的日本資安研究公司Lepidum研究員Masashi Kikuchi通報資料，這個漏洞和先前OpenSSL的心臟淌血（Heartbleed）漏洞一樣，都將影響所有使用SSL/TLS的加密服務，包括：SMTPS、 FTPS以及HTTPS等。

Masashi Kikuchi也在說明文件上指出，OpenSSL用來更改密鑰規格的ChangeCiperSpec（簡稱CCS）處理上，出現一個漏洞，允許惡意中間節點攔截和解密已經加密的資料，也同時迫使SSL用戶端使用比較脆弱的金鑰，讓加密資料暴露在惡意的節點上。

徐念恩進一步解釋，這樣的攻擊手法就是在用戶端與伺服器端的通訊過程中，駭客會發送一個偽造的ChangeCipherSpec更改密鑰協定給伺服器，讓原本比較嚴謹的加密方式，變成比較低複雜度的加密方法，當駭客利用中間人攻擊（MITM）手法，監聽伺服器和用戶間的封包時，更容易破解加密的傳輸內容。包括使用SSL3.0、TLS1.0、TLS1.1及TLS1.2等加密協定的服務，都會受到這個CCS注入漏洞的影響。

不過，Masashi Kikuchi強調，這次CCS注入漏洞無法偷走網站的加密私鑰，所以企業不必和上次面臨Heartbleed漏洞一樣，必須重新產生SSL加密私鑰並將網站舊憑證撤銷以確保其安全性。但他說，駭客若利用這個CCS注入的漏洞竊聽各種加密封包與各種加密語音和視訊資訊時，同樣不會留下任何可被追蹤的痕跡。

修復Heartbleed漏洞的OpenSSL版本仍有問題

徐念恩表示，即使企業上次已經為了修補Heartbleed漏洞而將OpenSSL升級到OpenSSL 1.0.1g，但在面對這次CCS注入漏洞時，上次升級的版本一樣有資安風險，所以必須要將OpenSSL 1.0.1 ～1.0.1g版升級到安全的OpenSSL 1.0.1h版，將OpenSSL 1.0.0版升級到OpenSSL 1.0.0m版，以及所有OpenSSL 0.9.8y之前的版本都升級到OpenSSL 0.9.8za版。

這次CCS注入和Heartbleed漏洞不一樣的地方在於，駭客要啟動CCS注入漏洞時，包括用戶端和伺服器端，都必須是使用有問題OpenSSL版本的瀏覽器，中間的加密資訊才會被竊聽。

徐念恩表示，已知使用有漏洞OpenSSL的用戶端軟體，包括了Android版Chrome瀏覽器，及其他基於Chromium製作的瀏覽器，如Opera瀏覽器14版以上版本，但是，像是桌面版及iOS版的IE、Firefox、Chrome，以及Safari等瀏覽器，都沒有使用有問題OpenSSL，而不會受到CCS注入漏洞的影響。Google也已緊急釋出更新版本。