Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es

26/09/2016

Actualització de seguretat de OpenSSL

S’ha trobat una vulnerabilitat crítica de denegació de servici en OpenSSL

La vulnerabilitat d’OpenSSL radica en la forma en què implementa OCSP i pot ser explotada si s’utilitza la configuració per defecte i inclús si OpenSSL no suporta OCSP.

La vulnerabilitat ha sigut catalogada com la més crítica dels últims 14 anys i pot ser explotada remotament. La vulnerabilitat consisteix en el fet que es poden enviar grans paquets "OCSP Estatus Request" a un determinat servidor durant la negociació de la connexió, açò causaria un consum tan elevat de memòria que podria provocar una denegació de servei en el servidor.

Sistemes Afectats:

Versions anteriors a OpenSSL 1.1.0a

Referències:

CVE-2016-6304

Solució:

És necessari actualitzar la llibreria a l’última versió OpenSSL 1.1.0a i, si no es pot actualitzar, és possible mitigar aquesta fallada amb l’opció "no-ocsp" o directament filtrar-ho en l’IDS/IPS de l’organització.

A més d’aquesta fallada, OpenSSL 1.1.0a soluciona altres 14 vulnerabilitats entre les quals es troben les de SWEET32, publicada el mes passat i que afecta els protocols Triple-DES (3DES) i Blowfish.

Un detall molt important és que la versió OpenSSL 1.0.1 deixarà de tindre suport a finals d’enguany, per la qual cosa és recomanable migrar a la versió d’OpenSSL 1.0.2 i inclús a la 1.1.0.

Notes: None

CSIRT-CV