Heartbleed: CVE-2014-0160 in OpenSSL
Der TLS-Heartbeat in OpenSSL 1.0.1 bis 1.0.1f lieferte Speicher des Serverprozesses aus, private Schlüssel eingeschlossen.
In der NVD veröffentlicht am 07.04.2014
CVE-2014-0160
Seit dem 04.05.2022 im CISA-Katalog aktiv ausgenutzter Lücken
Ausnutzungswahrscheinlichkeit (EPSS, 01.11.2026): 99,999 %, Perzentil 99,996
Was ist Heartbleed?
Heartbleed ist eine Lücke in der TLS- und DTLS-Implementierung von OpenSSL 1.0.1 bis 1.0.1f. Die Heartbeat-Erweiterung behandelte ihre Pakete nicht korrekt: präparierte Pakete lösen einen Lesezugriff über das Ende eines Puffers hinaus aus, und der Server schickt Teile seines Prozessspeichers zurück. Wie die NVD vermerkt, wurden so private Schlüssel ausgelesen.
Die NVD bewertet sie mit CVSS 7.5, und CISA hat sie am 4. Mai 2022 in ihren Katalog aktiv ausgenutzter Lücken aufgenommen. Debian 12 und 13 liefern OpenSSL 3 mit dem Fix aus.
Betroffene und behobene Versionen
OpenSSL 1.0.1
Betroffen: 1.0.1 - 1.0.1f
Behoben in 1.0.1g
Stand in Debian und Ubuntu
Debian 12: openssl
Behoben ab Paketversion 1.0.1g-1
Debian 13: openssl
Behoben ab Paketversion 1.0.1g-1
Die OSV-Datenbank führt zu dieser Lücke keine Ubuntu-Pakete.
Was tun?
Aktualisiere OpenSSL 1.0.1 auf 1.0.1g oder neuer. Lief auf einem Server eine betroffene Version, empfehlen wir, nach dem Update TLS-Schlüssel und Zertifikate zu ersetzen, weil sie ausgelesen worden sein können.
Erseni Patch meldet dir, wenn eine neue Lücke genau deine Version betrifft und wenn dein Release-Zweig keinen Support mehr bekommt. Trag das Programm oder Paket mit deiner Version ein, dann prüfen wir sie sofort.
Du hast schon ein Konto? Anmelden und OpenSSL eintragen
Quellen
Angaben am 02.11.2026 gegen NVD, CISA KEV, FIRST EPSS, den Debian Security Tracker und OSV geprüft.
Weitere bekannte Lücken
- PHP2Shell (CVE-2026-109618, CVE-2026-109619)
- Log4Shell (CVE-2021-44228)
- regreSSHion (CVE-2024-6387)
- XZ Backdoor (CVE-2024-3094)
- Shellshock (CVE-2014-6271)