El
proyecto OpenSSL ha publicado un boletín en el que corrige siete nuevas vulnerabilidades,
además de la ya conocida como logjam,
otras cinco calificadas de impacto moderado y una última de gravedad baja.
En primer lugar se soluciona la ya
conocida
logjam (
de
la que ya hablamos en una-al-día) que reside en una vulnerabilidad (con CVE-2015-4000)
en el protocolo TLS que básicamente permite a un atacante que haga uso de
técnicas de "hombre en el medio" degradar la seguridad de las conexiones
TLS a 512 bits.
Una vulnerabilidad (de gravedad
moderada) de denegación de servicio en el módulo de criptografía de curvas
elípticas. Reside en que al tratar estructuras ECParameters si la curva especificada
está específicamente mal construida, OpenSSL entrará en un bucle infinito (CVE-2015-1788).
También de gravedad moderada, una
lectura fuera de límites en X50_cmp_time en la lectura de cadenas ASN1_TIME,
que puede permitir a un atacante provocar condiciones de denegación de servicio
(CVE-2015-1789). Una vulnerabilidad de referencia a puntero nulo en el
tratamiento de PKCS#7 (CVE-2015-1790). Una denegación de servicio debido a un
bucle infinito en el código CMS al verificar mensajes signedData con una
función hash desconocida (CVE-2015-1792). Mientras que de gravedad baja, una condición
de carrera en el tratamiento de NewSessionTicket (CVE-2015-1791).
Por último, una vulnerabilidad
que ya fue corregida en junio del año pasado, por lo que no afecta a las
versiones actuales de OpenSSL.
El problema se debe a una corrupción
de memoria en DTLS (CVE-2014-8176). Solo afecta a versiones OpenSSL 1.0.1 y
anteriores.
OpenSSL ha publicado las versiones
1.0.2b, 1.0.1n, 1.0.0s y 0.9.8zg disponibles desde
También se recuerda por parte de
OpenSSL que las versiones 1.0.0 y 0.9.8 acaban su soporte a finales de año.
Más información:
una-al-dia (21/05/2015) Logjam,
el hacedor de llaves en el reino de las cerraduras cobardes
OpenSSL Security Advisory [11 Jun 2015]
Antonio Ropero
Twitter:
@aropero
