Critical Security: Patch for OpenSSL Heartbleed Vulnerability

สืบเนื่องจาก OpenSSL Heartbleed bug (CVE-2014-0160) ซึ่งเป็น bug ที่ทำให้ attacker ส่ง heartbeat message ที่ไม่สมบูรณ์ไปยังเป้าหมายและเครื่องเป้าหมายจะทำการส่งข้อมูลที่เก็บอยู่ใน memory กลับไป โดยการโจมตีแต่ละครั้งจะสามารถดึงข้อมูลมาได้ 64 kilobytes แต่ถ้าหาก attacker ทำการโจมตีเรื่อยๆก็จะสามารถได้ข้อมูลที่ต้องการได้ครบถ้วน เช่น ข้อมูล email ที่ได้มีการรับส่งระหว่าง client และ server แต่ถ้าหากโชคร้าย attacker ได้ข้อมูลพวก private keys ไปจะทำให้ attacker สามารถดักอ่านข้อมูลการสื่อสารระหว่าง server (ที่ถูกขโมย private encryption) กับ client ได้ Zimbra Collaboration Server 8 ได้รับผลกระทบจาก OpenSSL Heartbleed bug เช่นกัน เนื่องจากว่าได้ใช้งาน OpenSSL 1.0.1e ที่อยู่ใน List ของ version ที่เข้าค่ายเรื่อง OpenSSL security flaw สำหรับ component ที่ได้รับผลกระทบคือ nginx, postfix และ OpenLDAP ที่ใช้งาน OpenSSL ของ Zimbra เอง ส่วน Component อื่นๆ ใช้งาน openssl libraries ของ OS UPDATE: *Zimbra 8.0.7 8.0.7 build 6021 ได้ทำการแก้ไขปัญหา Heartbleed เรียบร้อยแล้ว ดังนั้นผู้ที่ upgrade ระบบ zimbra มายัง ZCS 8.0.7 build 6021 ไม่จำเป็นต้องทำการ patch เพื่อแก้ไขปัญหา Heartbleed อีกครั้ง การแก้ไข ปัญหา OpenSSL Heartbleed bug (CVE-2014-0160) ทำการแก้ไขจะต้องทำทั้ง OS และ Zimbra Collaboration Server 8 ดังนี้

1. ที่ Zimbra Zimbra ได้ออก patch OpenSSL สำหรับ version 8.0.3 - 8.0.7 (ไม่รองรับ 8.0.0 - 8.0.2) โดยให้ผู้ดูแลระบบทำตามขั้นตอนด้านล่างนี้ เพื่อแก้ไขปัญหา OpenSSL Heartbleed bug

   1. Login เข้าสู่ระบบ ด้วย root

   2. รันคำสั่ง

      wget http://files.zimbra.com/downloads/security/zmopenssl-updater.sh
      chmod a+rx zmopenssl-updater.sh

   3. รันคำสั่ง patch openssl security issue sh zmopenssl-updater.sh ผลลัพธ์การรัน

      ---------------------
      [Generates the following output]
      Downloading patched openssl
      Validating patched openssl: success
      Backing up old openssl: complete
      Installing patched openssl: complete
      OpenSSL patch process complete.
      Please restart Zimbra Collaboration Suite as the Zimbra user via zmcontrol
      restart
      ---------------------

   4. ทำการ Restart zimbra /etc/init.d/zimbra restart

2. ที่ OS ทำการ update openssl ให้ตรงตาม version ดังนี้

• 1.0.1e-16.el6_5.7 บน RedHat 6 / CentOS 6
• 1.0.1-4ubuntu5.12 บน Ubuntu 12.04 LTS
• SLES11 และ UBUNTU10_64SuSe ไม่ได้รับผลกระทบระดับ OS