⬇ Scarica il santino: ·
San Ticketbleed, che restituiva memoria altrui
Patrono dei bilanciatori F5 BIG-IP, dei ticket di sessione TLS e dei 31 byte che non dovevano uscire.
Vita
Il 26 ottobre 2016 Filippo Valsorda, allora nel team crittografico di Cloudflare, descrisse Ticketbleed: un BIG-IP F5 con i ticket di sessione TLS abilitati poteva restituire fino a 31 byte di memoria non inizializzata a ogni connessione. Dentro potevano finirci identificativi di sessione di altri utenti. Era il cugino più piccolo di Heartbleed, con la stessa colpa: rispondere con più dati di quanti ne fossero stati forniti.
Preghiera
O San Ticketbleed, che mostri a tutti i trentuno byte di troppo, fa' che i nostri server restituiscano solo ciò che gli è stato dato. Amen.
Come si festeggia
Si festeggia disabilitando i ticket di sessione TLS non standard su BIG-IP o aggiornando il firmware F5.
Chi risponde più di quanto chiesto, risponde con i segreti altrui.