Oggi il team OpenSSL ha rilasciato la versione 3,0,7 di OpenSSL. La presente versione include correzioni relative a due vulnerabilità di rilievo con livello di gravità “Elevato” (CVE-2022-3786 e CVE-2022-3602) che interessano tutte le versioni di OpenSSL dalla 3,0,0 alla 3,0,6. Si invitano i team addetti alla sicurezza a individuare le versioni pertinenti di “ OpenSSL ” e ad aggiornarle alla versione 3,0,7 il più rapidamente possibile.
Che cos’è “ OpenSSL”?
OpenSSL è un insieme di strumenti che favorisce comunicazioni sicure nei server web e nelle applicazioni. Pertanto, costituisce un elemento fondamentale del protocollo Transport Layer Security (TLS), che garantisce che i dati trasmessi su Internet siano al riparo da occhi indiscreti.
Perché dovrebbe preoccuparLa?
Inizialmente questa vulnerabilità era stata segnalata come “critica” nella versione OpenSSL, ma dopo la divulgazione è stata riclassificata come “elevata”. Sulla base delle informazioni fornite dal team “ OpenSSL ”, le circostanze necessarie affinché la vulnerabilità possa essere sfruttata sono meno probabili di quanto si pensasse inizialmente. Sia la versione CVE-2022-3786 che la CVE-2022-3602 dovrebbero comunque essere aggiornate, nonostante siano state declassate. L'ultima grave vulnerabilità riscontrata in OpenSSL è stata il famigerato bug Heartbleed , risalente a otto anni fa.
La sfida consiste nel trovarlo
La chiave per ridurre il rischio della Sua organizzazione consiste nell’individuare e correggere, oppure mitigare in altro modo, le implementazioni interessate il prima possibile. Tuttavia, la sfida nel correggere le librerie open source di terze parti ampiamente utilizzate, come OpenSSL , consiste nell’individuare tutti i punti in cui sono presenti all’interno dell’azienda.
OpenSSL Si tratta del codice sorgente che i fornitori di software devono compilare, il quale può essere distribuito in vari modi, dall’integrazione statica all’interno del proprio programma alle risorse collegate dinamicamente. Questo tipo di dipendenze risulta difficile (o, in molti casi, impossibile) da rilevare per i tradizionali strumenti di scansione delle vulnerabilità. Ecco perché l’esplorazione richiede un approccio articolato su più livelli.
In che modo può essere d’aiuto l’SBOM di Tanium ?
Tanium ha recentemente lanciato una nuova funzionalità denominata “ ” ( Tanium Software ) e “Bill of Materials (SBOM)” ( ) per aiutare i clienti a identificare le librerie di terze parti associate ai pacchetti software. Tanium SBOM è un'estensione di Tanium Asset.
Tanium SBOM utilizza un unico agente " Tanium " per fornire visibilità in tempo reale su ambienti software complessi, consentendo alla Sua organizzazione di prendere decisioni più consapevoli in merito alla gestione dei rischi legati all' endpoint .
Dopo aver configurato una SBOM ( Tanium ), potrete conoscere i dettagli relativi a ogni applicazione software presente nel vostro ambiente e individuare i pacchetti vulnerabili. Ponga una semplice domanda a un SBOM di Tanium : riceverà una risposta proveniente dall’intero ambiente, su larga scala e in pochi secondi.
La invitiamo a guardare questo breve video dimostrativo per scoprire in che modo l’SBOM di Tanium può risolvere la vulnerabilità “ OpenSSL ”.
https://youtu.be/8McUTAFdyh8
Come utilizzare l'elenco dei componenti (SBOM) di Tanium per affrontare l' OpenSSL
Tanium Attualmente SBOM supporta l’analisi di questi ecosistemi: Java, JavaScript, Python, PHP, Ruby, GoLang (binari) e librerie condivise OpenSSL . Sono necessari alcuni passaggi aggiuntivi per installare e configurare i contenuti SBOM. Potete trovare le istruzioni dettagliate, passo dopo passo, su come aggiungere gli attributi SBOM per OpenSSL all'indirizzo nel nostro articolo della Community di Tanium all'indirizzo.
Con " Tanium" potrete:
- Comprendere ogni componente software in fase di esecuzione, individuando i pacchetti software e scomponendoli per esaminarne tutti i componenti costitutivi senza ricorrere al fornitore del software. È in grado di analizzare i file dei client thick e di esaminare gli ambienti thin client.
- Si prega di risolvere le vulnerabilità o le configurazioni errate individuate in tali componenti.
- Adotti misure volte a mitigare il rischio interrompendo l’utilizzo del dispositivo interessato, terminando i processi correlati o addirittura rimuovendo completamente le app dagli endpoint interessati.
La piattaforma Tanium è in grado di individuare e correggere vulnerabilità come quelle riscontrate oggi in OpenSSL v3 , e può preparare al meglio la Sua organizzazione ad affrontare la prossima vulnerabilità della catena di fornitura che si presenterà.
Potete trovare ulteriori informazioni, tra cui le istruzioni su come identificare OpenSSL nel vostro ambiente, nel nostro articolo della Community di Tanium all’indirizzo.
Seguiremo con attenzione gli sviluppi relativi a questa vulnerabilità. Continuate a consultare questa pagina e l’articolo della nostra community “ Tanium ” man mano che saranno disponibili ulteriori informazioni.
