Q16782 - COPEVE-UFAL Técnico de Tecnologia da Informação 2014

o HeartBleed é uma vulnerabilidade do tipo buffer overrun. Nessa vulnerabilidade, o cliente envia uma solicitação válida para o servidor, porém com um pedido de um conteúdo maior que o solicitado. Assim, o servidor envia mais dados do que o previsto, possibilitando revelar trechos importantes da memória do servidor como senhas e chaves criptográficas.

o HeartBleed é uma vulnerabilidade conhecida como man-in-the-middle (homem do meio), pois ele explora uma vulnerabilidade na entidade certificadora raiz do protocolo SSL, utilizando-a como intermediária do ataque. Assim, o HeartBleed se faz passar pela entidade certificadora raiz, sendo capaz de relevar dados sigilosos como senhas e chaves criptográficas do servidor.

o HeartBleed é uma vulnerabilidade do tipo DDOS (negação de serviço distribuída) que permite que os invasores usem os servidores que utilizam a biblioteca OpenSSL vulnerável como escravos (zumbis) e assim ataquem outros servidores roubando dados sigilosos como senhas e chaves criptográficas.

o HeartBleed é uma vulnerabilidade do tipo SQL injection, que explora a função heartbeat do OpenSSL substituindo a requisição do heartbeat por consultas SQL maliciosas e, assim, ganhando acesso privilegiado a senhas e chaves criptográficas armazenadas no servidor.

o HeartBleed é uma vulnerabilidade do tipo session hijacking (sequestro de sessão), que faz com que o invasor explore uma sessão entre o servidor web vulnerável e o navegador, fazendo com que o invasor possa descobrir o identificador de sessão (session token) e, assim, quebrar a criptografia do OpenSSL, tendo acesso a informações sigilosas como senhas e mensagens.