Se descubre, 16 años después, una vulnerabilidad en OpenSSL

Estrategia de CanalNegocios

A finales de la semana pasada se anunciaba una vulnerabilidad en OpenSSL que permite espiar comunicaciones SSL/TLS cifradas.

La semana pasada se publicaba un aviso en la página web de OpenSSL, bautizada como CVE-2014-0224, en el que se informaba de la existencia de una vulnerabilidad man-in-the-middle. La vulnerabilidad puede ser explotada para descifrar y modificar el tráfico SSL (Secure Sockets Layer) y TLS (Transport Layer Security) entre clientes y servidores que utilicen OpenSSL, si la versión de la librería del servidor es la versión 1.0.1 o posterior.

Tranquiliza, un poco, saber que el ataque sólo tendría éxito si se es capaz de interceptar las conexiones entre el cliente y el servidor; un tipo de ataque conocido como man-in-the-middle, que normalmente se ejecuta en redes inalámbricas no seguras o hackeando routers, entre otros métodos.

El investigador de seguridad Masashi Kikuchi, de la compañía Lepidum, ha sido quien ha descubierto la vulnerabilidad, y también quien ha ayudado a crear un parche que solucione en problema y al que se puede acceder desde esta dirección. Las nuevas versiones de la librería también solucionan tres problemas de denegación de servicio y una vulnerabilidad de ejecución remota de código cuando la librería se utiliza para conexiones DTLS (Datagram Transport Layer Security).

A través de un post Kikuchi ha proporcionado más información sobre cómo descubrió el fallo, asegurando que no se había detectado antes por insuficientes comprobaciones de código. “La principal razón por la que el código no se ha encontrado en 16 años es porque las revisiones de código han sido insufucientes, especialmente por parte de los expertos que han experimentado con las implementaciones TLC/SSL”, asegura el investigador.

En su blog también explica que el ataque man-in-the-middle es posible porque OpenSSL acepta mensajes CCS (ChangeCipherSpec) de manera no apropiada durante una comunicación TLS. Estos mensajes, que son los marcan el cambio entre un tráfico cifrado o no, deben enviarse en momentos específicos, pero OpenSSL acepta mensajes CCS en otros momentos también.

El código donde se ha viso el fallo se insertó por primera vez en OpenSSL 0.9.1c, lanzado al mercado en diciembre de 1998.

Hace unos meses ChannelBiz mantuvo una interesante conversación con Miguel Angel Martos, responsable de BlueCoat España, sobre el reto de SSL, durante la cual el ejecutivo llegó  a asegura que estas comunicaciones “se han convertido en una vía estupenda para introducir malware en las organizaciones y robar datos”.


Leer la biografía del autor  Ocultar la biografía del autor