El proyecto OpenSSL acaba de publicar un boletín en el que corrige ocho nuevas vulnerabilidades, la mayoría de ellas calificadas como impacto bajo a excepción de dos moderadas. Afectarían a la implementación de los protocolos SSL, RSA y DTLS entre otros.
Para empezar, con CVE-2014-3571, tenemos un fallo de segmentación en la función “dtls1_get_record”, el problema viene de una referencia a puntero nulo que podría causar denegación de servicio al mandar un mensaje DTLS manipulado. Esto fue reportado por Markus Stenberg de Cisco. También en DTLS y causando denegación de servicio, Chris Mueller detecta un fallo de memoria en la función “dtls1_buffer_record” al enviar repetidos registros DTLS con el mismo número de secuencia pero distinta época, asignado CVE-2015-0206.
Con CVE-2014-3569 tenemos otra denegación de servicio descubierta por Frank Schmirler. La función “ssl23_get_client_hello” no maneja adecuadamente los intentos de uso de protocolos no soportados. Cuando se recibe un “SSLv3 Hello” y está configurada la opción “no-ssl3” provoca una referencia a puntero nulo.
CVE-2014-3572, pérdida de “Forward Secrecy” al omitir el mensaje “ServerKeyExchange” y permitir bajar de ECDHE a ECDH de forma transparente. De forma similar, con CVE-2015-0204, otro fallo que también puede facilitar la disminución del nivel de seguridad de la sesión al permitir una clave RSA temporal en suites de cifrado de tipo “non-export”. El último de los saltos de seguridad, con CVE-2015-0205, consiste en un fallo en la función “ssl3_get_cert_verify” que permitiría la autenticación de un cliente con certificado DH sin necesidad de la clave privada. Fallos reportados por Karthikeyan Bhargavan del equipo Prosecco de INRIA.
No se verifican ciertas partes sin firmar de un certificado lo que puede permitir modificar la huella de éste. Hay que destacar que esta vulnerabilidad (CVE-2014-8275) no permite saltar la verificación de certificados, solo afecta a sistemas que tengan una lista negra basándose en la huella. Variantes descubiertas por Antti Karjalainen y Tuomo Untinen del programa Codenomicon CROSS program y Konrad Kraszewski de Google.
Y para concluir, con CVE-2014-3570 y reportado por Pieter Wuille (Blockstream), existe un fallo en la implementación de BN_sqr que podría no calcular correctamente el cuadrado de un valor BIGNUM lo que facilitaría a un atacante romper los mecanismos de cifrado. Este fallo ocurre de forma aleatoria y con muy poca probabilidad.
Los usuarios de OpenSSL 0.9.8 deben actualizar a 0.9.8zd, los usuarios de OpenSSL 1.0.0 deben actualizar a la versión 1.0.0p y los usuarios de OpenSSL 1.0.1 deben actualizar a 1.0.1k. También se recuerda por parte de OpenSSL que las versiones 1.0.0 y 0.9.8 acaban su soporte a finales de año.
Fuente:https://unaaldia.hispasec.com/
Trabajando como arquitecto de soluciones de ciberseguridad, Alisa se enfoca en la protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad dentro de una variedad de empresas de seguridad cibernética. También tiene experiencia en diferentes industrias como finanzas, salud médica y reconocimiento facial.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
