Heartbleed (CVE-2014-0160)

Раскрытый в апреле 2014 года Heartbleed (CVE-2014-0160) — отсутствие проверки границ в OpenSSL 1.0.1–1.0.1f при обработке TLS heartbeat. Отправив запрос heartbeat с большим заявленным payload, чем реально передан, атакующий заставлял сервер вернуть соответствующий объём соседней памяти — повторяя это незаметно по штатному TLS. В украденных данных оказывались закрытые ключи RSA, сессионные cookie, учётные данные, содержимое почты с веб-серверов, VPN-шлюзов и встроенных устройств. Это вызвало глобальную волну патчей, ротации ключей и отзыва сертификатов. Исправление — OpenSSL 1.0.1g и выше, с предположением компрометации, заменой ключей и инвалидацией сессий.