هفته گذشته، شرکت امنیتی High-Tech Bridge از برنامه‌ی رایگان آزمایش SSl/TLS خود استفاده کرد تا مشخص کند چه تعداد از ۱۰,۰۰۰ وب‌گاه Alexa Top  هنوز در معرض آسیب‎پذیری OpenSSl با نام CVE-۲۰۱۶-۲۱۰۷ هستند.

این حفره در سال ۲۰۱۳ به عنوان بخشی از وصله برای حمله TLC با نام «Lucky ۱۳» معرفی شد. در ماه آوریل جوراج سوموروفسکی متوجه شد که یک مهاجم MitM برای رمزگشایی ترافیک در مواردی که اتصالات از یک رمزنگاری AES CBC استفاده می‌کند و کارگزار از دستورالعمل‌های AES-NI پشتیبانی می‌کند، می‌تواند حمله‌ی padding oracle صورت دهد.

این شرکت امنیتی در وبلاگش نوشت: «خبر بد اینکه به دلایل تطابق‎پذیری‌، نیازمندی توسط TLC ۱.۲ RFC و پیشنهاد آن توسط راهنمایی‌های NIST، پشتیبانی از رمزنگاری AES-CBS به شدت توصیه شده است».

شرکت High-Tech Bridge به Security Week گفت که با جستجوی استفاده از AES CBC و با استفاده از یک کد OpenSSL که مخصوص بررسی حضور CVE-۲۰۱۶-۲۱۰۷ طراحی شده است، توانسته ۱۰۰۰۰ وب‌گاه Alexa Top را به صورت خودکار و قانونی بررسی کند.

این بررسی نشان داد که یا وب یا کارگزار‌های رایانامه همراه با تعداد ۱۸۲۹ (۱۹.۲۹ درصد) وب‌گاه‌ هم آسیب‎پذیر و هم قابل استفاده (البته سوءاستفاده) هستند. محققان نشان دادند که ۶۲ درصد کارگزارها (۶۲۵۸ وب) آسیب‎پذیر نیستند و ۱۹ درصد (۱۹۱۳ وب) آسیب‌پذیرند اما قابل استفاده نمی‌باشند.

محققان خاطر نشان کردند که: «با توجه به اینکه این آسیب‎پذیری‌ها می‌توانند در عمل مورد سوءاستفاده قرار گیرند و باعث سرقت اطلاعات، اعتبارات و اطلاعات شخصی و مالی کاربران شوند، بنابراین چنین نتایجی بسیار ناامید کننده است».

محققانی که می‌خواهند بدانند که آیا وب یا کارگزار رایانامه‌شان در معرض خطر است یا خیر می‌توانند از برنامه رایگان آزمایش SSL/TLS استفاده کنند.