Forscher haben eine Schwachstelle in der Verschlöselungs-Bibliothek OpenSSL gefunden, die sich mit winzigen Datenpaketen aus dem Internet ausnutzen lässt.
Stell dir vor, jemand schickt einem Webserver nur 11 Zeichen – und der Server macht danach nie wieder etwas Sinnvolles. Genau das haben Sicherheitsforscher der Firma Okta herausgefunden. Sie taufen die Lücke „Hollowbyte“. OpenSSL ist eine Programmbibliothek, die auf sehr vielen Servern dafür sorgt, dass Verbindungen im Internet verschlüsselt werden. Wenn du also eine Webseite mit https aufrufst, läuft im Hintergrund fast immer OpenSSL.
Was passiert genau? Wenn sich dein Browser mit einem Server verbindet, schicken sich beide zuerst eine Art Begrüßung – den sogenannten TLS-Handshake. In dieser Begrüßung steht im Header, wie viele Daten gleich folgen werden. Ältere OpenSSL-Versionen reservieren schon zu Beginn den angekündigten Speicher – also bis zu 131 KByte pro Verbindung. Das ist so, als würdest du im Restaurant einen Tisch für zehn Personen reservieren, obwohl du gar nicht weißt, ob jemand kommt.