OpenSSL 1.1.0c es la nueva versión que soluciona fallos de seguridad graves

Escrito por Sergio De Luz

El equipo de desarrollo de la popular librería OpenSSL que es utilizada ampliamente por sistemas operativos y dispositivos embebidos como routers, puntos de acceso, servidores NAS y otros, ha lanzado una importante actualización que corrige graves fallos de seguridad, la nueva versión es la OpenSSL 1.1.0c.

Fallo de seguridad en la implementación de ChaCha20/Poly1305

El primer fallo de seguridad y más grave que el equipo de desarrollo de OpenSSL ha corregido, está relacionado con el cifrado ChaCha20/Poly1305. Las conexiones TLS que utilicen este tipo de suite de cifrado, son susceptibles a un ataque de denegación de servicio por corrupción de payloads muy largos, esto hace que OpenSSL deje de funcionar correctamente. No se ha detectado que se puedan realizar otro tipo de ataques a este fallo, por lo que si un usuario malintencionado intenta explotar este fallo, únicamente conseguirá un DoS contra OpenSSL y la comunicación se cortará.

Esta vulnerabilidad afecta a la familia de versiones OpenSSL 1.1.0 y no a las anteriores, la nueva versión OpenSSL 1.1.0c soluciona este problema. El identificador de vulnerabilidad de este fallo de seguridad es el
CVE-2016-7054 y tiene criticidad alta.

Otros fallos de seguridad corregidos en esta versión

Otro fallo de seguridad que el equipo de OpenSSL ha solucionado, está relacionado con aplicaciones que parsean estructuras CMS inválidas, ya que puede romper la propia aplicación con una desreferencia de puntero nulo. Esto es causado por un error en el manejo del tipo ASN.1 tipo CHOICE, que puede resultar en un valor nulo que se pasa a la estructura de devolución de llamada si se realiza un intento de liberar ciertas codificaciones no válidas. Solo las estructuras CHOICE que usan callbacks están afectadas.

Esta vulnerabilidad afecta a la familia de versiones OpenSSL 1.1.0 y no a las anteriores, la nueva versión OpenSSL 1.1.0c soluciona este problema. El identificador de vulnerabilidad de este fallo de seguridad es el
CVE-2016-7053 y tiene criticidad alta.

Por último, el tercer fallo de seguridad que se ha solucionado tiene criticidad baja pero está relacionado con el procedimiento de multiplicación de Broadwell que maneja longitudes de entrada divisibles con valores más grandes de 256 bits. Según los analistas, los ataques contra claves privadas RSA, DSA y DH son imposibles a través de este fallo, no obstante, han revisado el código y corregido este problema.

Podéis ver todos los avisos de seguridad de OpenSSL en la página web oficial del proyecto, os recomendamos actualizar cuanto antes vuestro OpenSSL del sistema operativo, ya que os habrá llegado la actualización, o sino, podéis forzarla de la siguiente manera (en sistemas Debian y derivados):

sudo apt-get update && sudo apt-get upgrade

Últimos análisis

Valoración RZ
7
Valoración RZ
9
Valoración RZ
8
Valoración RZ
8
Valoración RZ
8
Valoración RZ
8
Valoración RZ
10