Heartbleed (CVE-2014-0160).

Im April 2014 offengelegt und unabhängig voneinander von Neel Mehta (Google) und der finnischen Firma Codenomicon entdeckt, ist Heartbleed (CVE-2014-0160) eine fehlende Grenzwertprüfung in OpenSSL 1.0.1 bis 1.0.1f in der TLS/DTLS-Heartbeat-Erweiterung (RFC 6520). Ein Heartbeat-Request enthält eine Payload sowie ein Längenfeld; der verwundbare Code vertraute der vom Angreifer angegebenen Länge, ohne sie gegen die tatsächliche Payload zu prüfen, sodass der Server mit memcpy bis zu 64 KB benachbarten Heap-Speicher in die Antwort kopierte. Jeder Request gab eine frische Speicherscheibe preis — unbemerkt, ohne Authentifizierung und ohne einen Logeintrag beim Opfer zu hinterlassen.

Der offengelegte Speicher enthielt häufig private RSA-Schlüssel, Session-Cookies, Benutzernamen, Passwörter und entschlüsselte Nachrichteninhalte. Reale Vorfälle folgten schnell: Die kanadische Steuerbehörde (Canada Revenue Agency) verlor rund 900 Sozialversicherungsnummern von Steuerzahlern, und der Datenabfluss bei Community Health Systems legte über ein verwundbares Juniper-VPN-Gerät etwa 4,5 Millionen Patientendatensätze offen. Da Perfect Forward Secrecy 2014 noch selten war, ermöglichte ein gestohlener privater Schlüssel das Entschlüsseln zuvor aufgezeichneten Datenverkehrs. Der Fix erschien am Folgetag in OpenSSL 1.0.1g, das die Länge prüft. Eine korrekte Behebung bedeutete außerdem, jedes Zertifikat und jeden Schlüssel auszutauschen und alle Sessions zu invalidieren, da die Exfiltration nicht nachweisbar war.

flowchart TD
  A[Angreifer] -->|"Heartbeat: 1-Byte-Payload, gibt 64 KB an"| B[OpenSSL 1.0.1-1.0.1f]
  B --> C{Länge gegen Payload<br/>geprüft?}
  C -->|"Nein (verwundbar)"| D["memcpy liest 64 KB<br/>benachbarten Heap-Speicher"]
  D --> E[Antwort verrät RSA-Schlüssel,<br/>Session-Cookies, Passwörter]
  E --> A
  C -->|"Ja (1.0.1g+)"| F[Antwort enthält nur<br/>die echte Payload]