Tails brengt noodpatch uit om kwetsbaarheden in OpenSSL op te lossen

De Linux-distributie Tails heeft een noodpatch uitgebracht om meerdere kwetsbaarheden in OpenSSL op te lossen. De Tor-browser die in de oude versie van Tails zit, maakt gebruik van een kwetsbare versie van OpenSSL.

Het gaat om in totaal twaalf bekende kwetsbaarheden. Het lek met CVE-nummer CVE-2025-15467 is het ernstigst en heeft een CVSS-score van 9,8. Het gaat om een stackbufferoverflowfout die kan ontstaan bij het verwerken van Cryptographic Message Syntax-berichten. De parameter Initialization Vector, het 'startpunt' van de encryptie, wordt in een stackbuffer gekopieerd met een vaste grootte zonder te controleren of de lengte ervan geschikt is voor de buffer. Wanneer een aanvaller een CMS-bericht met een te grote IV verstuurt, ontstaat een stackbufferoverflow. Daardoor kan het systeem crashen en kan een hacker mogelijk op afstand code uitvoeren. De versies 3.6, 3.5, 3.4, 3.3 en 3.0 van OpenSSL bevatten dit lek.

De noodpatch repareert de kwetsbaarheden door de OpenSSL-bibliotheek te updaten naar versie 3.5.4. Volgens de ontwikkelaars van het op privacy gefocuste besturingssysteem was het door de kwetsbaarheden mogelijk om het IP-adres van een gebruiker te achterhalen via een kwaadaardige Tor-server. De patch updatet ook de Tor-client naar versie 0.4.8.22 en het e-mailprogramma Thunderbird naar versie 140.7.0. Verder lost de update ook een authenticatieprobleem met Gmail-accounts in Thunderbird op.

Reacties (7)

[meowmofo]

Het gaat om een stackbufferoverflowfout die kan ontstaan bij het verwerken van Cryptographic Message Syntax-berichten. De parameter Initialization Vector, het 'startpunt' van de encryptie, wordt in een stackbuffer gekopieerd met een vaste grootte zonder te controleren of de lengte ervan geschikt is voor de buffer. Wanneer een aanvaller een CMS-bericht met een te grote IV verstuurt, ontstaat een stackbufferoverflow. Daardoor kan het systeem crashen en kan een hacker mogelijk op afstand code uitvoeren.

Ik lees dit stukje tekst overal, maar snap bijzonder weinig van wat nou echt de implicaties hier zijn in het echte leven. Ik welke situaties zou dit uitgebuit kunnen worden? Zo te zien niet rechtstreeks tegen een webserver of iets, gezien ik wel al exploit / POC code online zie, maar nergens echt verder paniek om deze situatie.

[Damic]

Heel simpel: ze definiëren bvb een buffer van 1024byte, dan lezen ze de inivector in en steken die direct in die buffer, zonder te controleren of dat die inivector er wel in past.

De juiste methode is zodra ze de inivector hebben ingelezen dan eerst zien of dat stuk wel in de buffer past en dan pas naar de buffer verhuizen.

[Reactie gewijzigd door Damic op 31 januari 2026 11:34]

[ultimate-tester]

Juist. En door die overflow bereik je dus geheugen wat niet bereikt zou mogen worden. Als dat stukje geheugen instructies bevat die nog uitgevoerd moeten worden, en je plaatst dus uitvoerbare instructies in je bericht als aanvaller, dan bereik je hiermee dus dat je je eigen code kunt uitvoeren op afstand. Dit is overigens geen kansspel, je kunt als aanvaller gewoon de grootte van het bericht verhogen totdat je executeerbaar geheugen hebt bereikt

[Reactie gewijzigd door ultimate-tester op 31 januari 2026 11:21]

[halfgaar]

Het punt is meer dat het niet duidelijk is of dit voor een standaard TLS poort een RCE oplevert. Er wordt over getwist. De één zegt dat het niet kan omdat de exploit niet in dat onderdeel van OpenSSL zit. Anderen zeggen dat er wel een pad is te vinden, door bepaalde certificaten mee te sturen als client bijvoorbeeld.

Voor mij is dit een gevalletje: zekere voor het onzekere, dus gewoon snel updaten. En de services herstarten, anders heeft het geen zin. (Ubuntu heeft needrestart per default, dus dan ben je al gedekt).

Oh, en laten we niet alle gecontaineriseerde applicaties vergeten. Tegenwoordig vinden we het namelijk een goed idee om beveiligingsupdate uit de handen van de sysadmin naar de developers te verplaatsen.

[Reactie gewijzigd door halfgaar op 31 januari 2026 11:56]

[ShadowBumble]

[...]

Ik lees dit stukje tekst overal, maar snap bijzonder weinig van wat nou echt de implicaties hier zijn in het echte leven. Ik welke situaties zou dit uitgebuit kunnen worden? Zo te zien niet rechtstreeks tegen een webserver of iets, gezien ik wel al exploit / POC code online zie, maar nergens echt verder paniek om deze situatie.

Het uitvoeren van deze kwetsbaarheid resulterrd in een crash (at best case) van de applicatie. Hiermee kan dus iets onbereikbaar worden en voor bedrijven kan dat dus leiden tot een verlies aan inkomsten etc.


Ik zeg best case want soms kunnen deze type lwetsbaarheden er ook voor zorgen dat rr code uitgevoerd kan worden door geheugen manipulatie. Dit kan leiden tot toegang tot de server en dus een hack. Nu is daar op dit moment nog geen PoC voor maar dat is een lwestie van tijd.

[FrostyPeet]

Je mag er rustig van uitgaan dat Tor/Tails netwerk tot de best gemonitorde systemen behoren. Denk aan onderzoekers, journalisten, overheden en veiligheidsdiensten in veel landen. In het verleden bleek dat sommige partijen er veel voor over hebben om gebruikers te vinden. Die verhalen zijn eenvoudig te vinden met je favoriete zoekmachine of op YouTube. Als er een bug is zal die zeker worden gevonden en uitgebuit. Als er een succesvolle POC is, wil dat niet zeggen dat die publiek bekend wordt gemaakt.

[bwerg]

Ik moet nu denken aan de obligate reactie "maar een veiligere programmeertaal garandeert nog steeds geen correct programma" die staat onder ongeveer elk artikel over developers die overstappen van C/C++ naar iets moderners - op dit moment vaak rust, maar dat had voor deze specifieke bug elke memory-managed taal kunnen zijn.

Bij deze de omgekeerde stelling, memory overflows veroorzaken een serieus risico en hadden in veel contexten al lang uitgebannen kunnen zijn, ongeacht welke domme fouten programmeurs ook kunnen maken.

[Reactie gewijzigd door bwerg op 31 januari 2026 11:52]