14 jun. 2015

OpenSSL soluciona siete vulnerabilidades

El proyecto OpenSSL ha publicado un boletín en el que corrige siete nuevas vulnerabilidades, además de la ya conocida como logjam, otras cinco calificadas de impacto moderado y una última de gravedad baja.

En primer lugar se soluciona la ya conocida logjam (de la que ya hablamos en una-al-día) que reside en una vulnerabilidad (con CVE-2015-4000) en el protocolo TLS que básicamente permite a un atacante que haga uso de técnicas de "hombre en el medio" degradar la seguridad de las conexiones TLS a 512 bits.

Una vulnerabilidad (de gravedad moderada) de denegación de servicio en el módulo de criptografía de curvas elípticas. Reside en que al tratar estructuras ECParameters si la curva especificada está específicamente mal construida, OpenSSL entrará en un bucle infinito (CVE-2015-1788).

También de gravedad moderada, una lectura fuera de límites en X50_cmp_time en la lectura de cadenas ASN1_TIME, que puede permitir a un atacante provocar condiciones de denegación de servicio (CVE-2015-1789). Una vulnerabilidad de referencia a puntero nulo en el tratamiento de PKCS#7 (CVE-2015-1790). Una denegación de servicio debido a un bucle infinito en el código CMS al verificar mensajes signedData con una función hash desconocida (CVE-2015-1792). Mientras que de gravedad baja, una condición de carrera en el tratamiento de NewSessionTicket
(CVE-2015-1791).

Por último, una vulnerabilidad que ya fue corregida en junio del año pasado, por lo que no afecta a las versiones actuales de OpenSSL. El problema se debe a una corrupción de memoria en DTLS (CVE-2014-8176). Solo afecta a versiones OpenSSL 1.0.1 y anteriores.

OpenSSL ha publicado las versiones 1.0.2b, 1.0.1n, 1.0.0s y 0.9.8zg disponibles desde: http://openssl.org/source/
También se recuerda por parte de OpenSSL que las versiones 1.0.0 y 0.9.8 acaban su soporte a finales de año.

Fuente: Hispasec

0 comentarios:

Publicar un comentario

Gracias por dejar un comentario en Segu-Info
Si vas a dejar una consulta, procura tener habilitado tu perfil en Blogger o deja una forma de contacto.

Gracias por comentar!