CVE-2014-0160

Uma requisição heartbeat malformada engana um OpenSSL vulnerável, fazendo-o responder com o que quer que esteja próximo à requisição na memória do processo, até 64KB por vez. Não há autenticação, nada trava e nada aparece em log. O problema para o defensor não é apenas que dados vazam, é o que vaza: cookies de sessão, credenciais e, notoriamente, a própria chave TLS privada do servidor, tudo legível pedaço a pedaço por qualquer um que consiga abrir uma conexão TLS.

O motivo pelo qual o Heartbleed ainda merece atenção anos depois das manchetes é que o código vulnerável ficou embutido em lugares que ninguém corrige numa terça-feira qualquer: balanceadores de carga, concentradores VPN, câmeras IP, equipamentos industriais, qualquer coisa que tenha feito o link estático de um OpenSSL 1.0.1 e sido distribuída. É silencioso por natureza, então não há alerta posterior indicando se as chaves já saíram pela porta, e o espectro de atacantes vai de scanners oportunistas a serviços de inteligência.

Nosso trabalho aqui é arqueologia de dependências, não leitura de advisory. Os servidores web mais comuns foram corrigidos há muito tempo; o risco vive em appliances e stacks embarcados onde o OpenSSL é invisível para um gerenciador de pacotes. Inventariamos onde a biblioteca vulnerável está de fato linkada e tratamos qualquer instância exposta como um evento de comprometimento de chave, não como um evento de patching: rotacionar certificados e segredos importa tanto quanto atualizar a versão.