El proyecto OpenSSL acaba de liberar una nueva versión de la librería que corrige una muy curiosa y relativamente grave vulnerabilidad. La han llamado "Heartbleed", algo así como corazón desangrado, el motivo es que el fallo se encuentra en una extensión denominada "Heartbeat" y obviamente los que la han descubierto no han dejado pasar el juego de palabras, veremos la razón.
Heartbeat es una funcionalidad añadida a TLS/DTLS que básicamente permite refrescar una sesión segura sin necesidad de efectuar una renegociación. Entre cliente y servidor se envían mensajes en forma de estructuras muy básicas para asegurarse que el cliente va a seguir enviando peticiones o el servidor sigue ahí para seguir respondiéndolas.
Cuando OpenSSL se decidió a implementar el RFC, introdujo un bug en la implementación. Dicho fallo permite leer partes de la memoria del proceso, hasta 64k, tanto en el cliente como en el servidor, dependiendo del punto de vista del atacante. Ese es el motivo del apodo con el que han bautizado la vulnerabilidad.
OpenSSL es una librería usada en multitud de proyectos y es distribuida en múltiples versiones de Linux, etc. Es decir, actualmente existe un número astronómico de equipos y servidores que podrían estar expuestos a esta vulnerabilidad. Hay que actualizar la librería OpenSSL a la última versión no vulnerable o compilar las fuentes descartando el soporte Heartbeat.
Esta vulnerabilidad está presente desde la versión de OpenSSL que introdujo la implementación con el bug, desde la versión 1.0.1. El fallo fue descubierto por Neel Mehta del equipo de seguridad de Google e independientemente por el equipo de seguridad de la empresa Codenomicon. Tiene asignado el CVE-2014-0160.
El parche se encuentra incluido en la última versión de OpenSSL, la 1.0.1g.
Más información:
The Heartbleed Bug
existential type crisis: Diagnosis of the OpenSSL Heartbleed Bug http://blog.existentialize.
0 comentarios:
Publicar un comentario