OK、基本的にハートブリードのバグは、openssl ライブラリがハートビート リクエストの実際のサイズをチェックしておらず、最初のリクエストと同じサイズの応答を維持しようとするメモリ ジャンクを提供する余分なデータで応答していたことです。
Web サイトで認証されたユーザーだけに関係していたのでしょうか、それともそのサービスのアカウントを持たず、パスワードを知らない悪意のあるユーザーが手探りを始める可能性があるのでしょうか? つまり、サービスの実際のユーザーは、他のユーザーよりもこのバグを使用する可能性が高いでしょうか?
Heartbleed でも - 承認は重要ですか?
匿名でサイトにアクセスする認証されていないユーザーは、理論的にはサーバーのプロセス空間内の任意のメモリにアクセスできます。幸いなことに、攻撃者はメモリのどの領域を読み取るかを制御できないようです。攻撃者は、たまたまハートビート メッセージの周辺でメモリを取得します (そのメモリがたまたまどこにあるとしても)。
多くの場合、認証はパスワードで行われます。通常、承認はトークンまたは Cookie を使用して行われます。トークンまたは Cookie は、認証が成功した結果です。それらの秘密も記憶の中にあります。したがって、パスワードとセッションもリセットされた理由です。