Heartbleed (CVE-2014-0160)

Heartbleed(CVE-2014-0160)于 2014 年 4 月披露,是 OpenSSL 1.0.1 至 1.0.1f 在处理 TLS 心跳消息时缺失边界检查导致的漏洞。攻击者发送一个声明 payload 长度大于实际值的心跳请求,服务器便会回送相应长度的相邻内存,且行为可重复进行、留下极少痕迹、走的是合法 TLS。被窃取的内容通常包括 RSA 私钥、会话 Cookie、凭据,以及 Web 服务器、VPN 网关与嵌入式设备中的邮件正文等。其影响引发全球范围的紧急打补丁、密钥轮换与证书吊销。修复方法是升级至 OpenSSL 1.0.1g 及以上,并按已被入侵处理:更换密钥、吊销会话。