DROWN é a mais recente vulnerabilidade no OpenSSL que afecta servidores que usam o protocolo de segurança SSLv2, tendo sido revelado no dia de ontem que o ataque poderá desencriptar as comunicações via HTTPS, como por exemplo passwords ou número de cartão de crédito. Mais de 33% dos servidores web estão vulneráveis, no entanto é uma percentagem significativamente mais baixa, comparativamente com a o Heartbleed.
No momento em que escrevemos este artigo, encontramos alguns sites importantes que estavam vulneráveis, tais como o YAhoo, Alibaba, Samsung, Speedtest entre outros.
Neste caso do DROWN, os atacantes têm a possibilidade interceptar, desencriptar e modificar pacotes enviados pelo utilizador para o servidor via HTTPS e enviá-los para o servidor, utilizando o método de ataque Man-in-the-Middle.
A versão 2 do protocolo SSL foi lançada nos anos 90 e é frequentemente activada por acidente ou automaticamente quando se configura um novo servidor, fazendo com que a incidência do ataque DROWN seja bastante elevada.
Segundo a página oficial para o DROWN, investigadores de segurança informática conseguiram tomar partido desta vulnerabilidade em menos de um minuto.
Para se defender deste ataque, deve certificar-se que o SSLv2 está desactivado e que a chave privada não seja partilhada com outros servidores.
