Se han descubiertos nuevos fallos de seguridad en la conocida herramienta OpenSSL. Estos nuevos fallos de seguridad (posteriores a Heartbleed) permitirían que un atacante pudiera realizar ataques Man In The Middle, ejecución remota de código y también podría permitir hacer una denegación de servicio al servidor. Las versiones afectadas con las OpenSSL 0.9.8, OpenSSL 1.0.0 y OpenSSL 1.0.1.
Ataques Man In The Middle sobre OpenSSL
El identificador de esta vulnerabilidad es el CVE-2014-0224, un atacante podría forzar el uso de claves débiles cuando el cliente y el servidor están realizando el conocido Handshake. De esta forma, se manipularía la negociación para dar pie a descifrar e incluso modificar el tráfico entre el cliente y el servidor. En el lado del cliente, todas las versiones de OpenSSL son vulnerables, y en el lado del servidor se ha conocido que sólo es vulnerable OpenSSL 1.0.1 y 1.0.2-beta1. Se recomienda a los usuarios con versiones anteriores a 1.0.1 que también actualicen por precaución.
Denegación de servicio
El identificador de esta vulnerabilidad es el CVE-2014-0221, un atacante podría enviar un handshake DTLS no válido a un cliente OpenSSL vulnerable, únicamente los clientes que utilizan DTLS en OpenSSL están afectados.
Otra vulnerabilidad catalogada con el identificador CVE-2014-0198 permitiría provocar un fallo en la función do_ssl3_write, esta fallo podría ser explotado por un atacante por medio de una referencia a un puntero a «null».
Ejecución de código arbitrario
El identificador de esta vulnerabilidad es el CVE-2014-0195, un atacante podría realizar un ataque de desbordamiento de buffer por enviar fragmentos DTLS no válidos a un cliente o a un servidor. Esto da pie a poder ejecutar código arbitrario.
Por último, también se podría provocar una inyección de datos entre sesiones e incluso un DoS, forzando una condición de carrera en la función ssl3_read_bytes. Esta vulnerabilidad tiene como identificador CVE-2010-5298.
Versiones OpenSSL que solucionan todos estos fallos de seguridad
Las nuevas versiones de OpenSSL que resuelven este fallo de seguridad son las siguientes:
- OpenSSL 0.9.8za
- OpenSSL 1.0.0m
- OpenSSL 1.0.1h
Os recomendamos leer el aviso de seguridad de OpenSSL donde tenéis más detalles sobre otras vulnerabilidades que se han corregido.