Der Heartbleed-Bug ist ein im April 2014 entdeckter, schwerwiegender Programmfehler in älteren Versionen der Open-Source-Bibliothek OpenSSL, durch den über verschlüsselte TLS-Verbindungen private Daten von Clients und Servern ausgelesen werden können. Der Fehler betrifft die OpenSSL-Versionen 1.0.1 bis 1.0.1f und wurde mit Version 1.0.1g behoben. Viele Internetdienste, Websites, aber auch VoIP-Telefone, Router und Netzwerkdrucker waren dadurch für Angriffe anfällig oder sind es immer noch, wenn keine Aktualisierung der Software erfolgt ist.
Der Name des Fehlers ist eine Zusammensetzung aus der verursachenden Funktion (Heartbeat) und eine Verweise auf die schwere der Auswirkung des Fehlers (Herzbluten der Sicherheit des Internets).
Die Heartbeat-Funktion ist eine selten genutzte Erweiterung des TLS-Verschlüsselungsprotokolls. Sie ermöglicht einem Kommunikationsteilnehmer, eine bis zu 16 kByte große Nachricht mit beliebigen Daten (Payload und Padding) an die Gegenseite zu schicken. Diese sendet den Payload-Teil unverändert zurück, womit periodisch geprüft wird, ob die Verbindung noch besteht.
Bei der fehlerhaften Implementierung dieser Funktion wird nicht überprüft, ob die angegebene Länge der Daten mit der tatsächlichen Länge der mitgelieferten Daten übereinstimmt. Ist die angegebene Länge größer als die tatsächliche Länge, so kopiert die OpenSSL-Implementierung über das Ende des Eingabepuffers hinaus Daten aus dem Heap in den Ausgabepuffer. Aufgrund der fehlenden Überprüfung kann ein Angreifer mit einer Anfrage bis zu 64 kByte des Arbeitsspeichers der Gegenstelle auslesen. Der Angriff kann beliebig oft wiederholt werden, um den Speicher wieder auszulesen. In Tests gelang es damit unter anderem den privaten Schlüssel des Serverzertifikats sowie Benutzernamen und Passworte von Servern und anderen Benutzern des Servers auszulesen.
Der Bug ist auch deshalb so brisant, weil es Anzeichen dafür gibt, dass er Geheimdiensten jahrelang bekannt war und gezielt ausgenutzt worden ist.
Neben dem interessanten Namen, war Heartbleed auch der erste Bug, der ein eigenes Logo hatte (ein blutendes Herz). Das ist danach bei schweren Bugs zur Mode geworden, z.B. ("ShellShock" und Muschel-Logo).
