Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es
08/01/2014
Denegació de Servici a OpenSSL
S’ha informat de diverses vulnerabilitats en OpenSSL, que podrien ser aprofitades per atacants maliciosos per a provocar una denegació de servici.S’ha informat de diverses vulnerabilitats en OpenSSL, que podrien ser aprofitades per atacants maliciosos per a provocar una denegació de servici.
1) Un error en la funció "ssl_get_algorithm2()" (ssl/s3_lib.c) pot ser explotat per a provocar una fallada en l’aplicació.
2) Un error quan es manegen DTLS pot ser aprofitat per a provocar una fallada en l’aplicació.
Esta vulnerabilitat està reportada en versions de la 1.0.0 a la 1.0.1e.
3) Un error en la funció "ssl3_take_mac()" (ssl/s3_both.c) quan es configura un nou xifrat pot ser aprofitat per a provocar una excepció per un punter a NULL a través d’una salutació (handshake) TLS especialment dissenyat.
Les vulnerabilitats #1 i #3 estan reportades en les versions de la 1.0.1 a la 1.0.1e.
Sistemes Afectats:OpenSSL 1.x
Referències:CVE-2013-4353, CVE-2013-6449, CVE-2013-6450
Solució:Actualizar a la versión 1.0.1f.
Notes:1) Ron Barber en un tiquet d’error.
2) El proveïdor reconeix Dmitry Sobinov.
3) El proveïdor reconeix Anton Johansson.
Alerta original:
OpenSSL:
http://www.openssl.org/news/openssl-1.0.1-notes.html
http://www.openssl.org/news/vulnerabilities.html
Ron Barber:
http://rt.openssl.org/Ticket/Display.html?id=3200&user=guest&pass=guest