Corregidas varias vulnerabilidades de OpenSSL

En 2023, se han abordado un total de 17 vulnerabilidades en OpenSSL, una popular biblioteca de criptografía . Suponen un riesgo importante debido a su potencial para causar interrupciones sustanciales de la disponibilidad. Su gravedad es alta, moderada y baja según la métrica de gravedad de OpenSSL.

Vulnerabilidades de OpenSSL en 2023

CVE-2023-4807 (08 de septiembre de 2023)

Se ha descubierto un error en la implementación del código de autenticación de mensajes (MAC) POLY1305 que tiene el potencial de alterar el estado interno de las aplicaciones que funcionan en la plataforma Windows de 64 bits, especialmente cuando se ejecutan en procesadores X86_64 modernos que admiten instrucciones AVX512-IFMA. Esta vulnerabilidad no afecta a otros sistemas operativos.

CVE-2023-2650 (30 de mayo de 2023)

El procesamiento de ciertos identificadores de objetos ASN.1 especialmente diseñados o de datos que los contengan puede experimentar importantes ralentizaciones de rendimiento.

Las aplicaciones que utilizan directamente OBJ_obj2txt() o que emplean subsistemas OpenSSL como OCSP, PKCS7/SMIME, CMS, CMP/CRMF, o TS sin imponer limitaciones en el tamaño de los mensajes pueden encontrarse con retrasos de procesamiento sustanciales a extensos para estos mensajes, potencialmente resultando en un escenario de Denegación de Servicio (DoS).

CVE-2023-0464 (21 de marzo de 2023)

Se ha descubierto una vulnerabilidad de seguridad que afecta a todas las versiones actualmente soportadas de OpenSSL. Esta vulnerabilidad afecta a la verificación de cadenas de certificados X.509 que contienen restricciones de políticas. Los atacantes tienen el potencial de aprovechar esta vulnerabilidad mediante la creación de una cadena de certificados maliciosos que induce el consumo exponencial de recursos computacionales, lo que en última instancia resulta en un ataque de denegación de servicio (DoS) en los sistemas vulnerables.

CVE-2023-0286 (07 de febrero de 2023)

Se ha identificado una vulnerabilidad que implica confusión de tipo en relación con el procesamiento de direcciones X.400 dentro de un GeneralName X.509. En este contexto, las direcciones X.400 se analizaban inicialmente como ASN1_STRING, pero la definición de estructura pública para GENERAL_NAME especificaba incorrectamente el tipo del campo x400Address como ASN1_TYPE. En consecuencia, este campo es malinterpretado por la función GENERAL_NAME_cmp de OpenSSL como un ASN1_TYPE en lugar de un ASN1_STRING.

Cuando la comprobación de CRL está activada (es decir, cuando la aplicación establece la bandera X509_V_FLAG_CRL_CHECK), esta vulnerabilidad tiene el potencial de permitir a un atacante proporcionar punteros arbitrarios a una llamada memcmp. Esto, a su vez, podría permitir al atacante leer el contenido de la memoria o iniciar un ataque de denegación de servicio.

LibCare de TuxCare para la seguridad de OpenSSL

LibCare, una herramienta complementaria de KernelCare Enterprise, ofrece servicios empresariales de aplicación de parches en vivo para bibliotecas compartidas como glibc y OpenSSL, susceptibles de sufrir amenazas de seguridad.

Dada la considerable dependencia de numerosos servidores de los sistemas operativos basados en Linux, las vulnerabilidades en bibliotecas críticas como OpenSSL pueden plantear riesgos significativos. No ponga en peligro la seguridad de OpenSSL ni interrumpa sus operaciones por más tiempo. Con LibCare de TuxCare, mejore la seguridad de su empresa con parches de bibliotecas automatizados y sin interrupciones.

Reflexiones finales

Las vulnerabilidades de OpenSSL podrían aprovecharse maliciosamente para ejecutar ataques DoS, lo que podría provocar la pérdida de accesibilidad al sistema e incluso comprometer su integridad. Para salvaguardar sus sistemas frente a estas amenazas, es esencial aplicar sin demora la actualización de seguridad proporcionada por OpenSSL. Instamos encarecidamente a todos los usuarios afectados a aplicar inmediatamente las actualizaciones de OpenSSL distribuidas por sus respectivas distribuciones.

TuxCare ya ha publicado parches para las vulnerabilidades mencionadas. Para más información, visite el panel de CVE.

La fuente de esta historia está disponible en OpenSSL.

Resumen

Nombre del artículo

Corregidas varias vulnerabilidades de OpenSSL

Descripción

OpenSSL aborda muchas vulnerabilidades de seguridad de diversa gravedad. Conozca las correcciones y la importancia de actualizar a tiempo.

Autor

Rohan Timalsina

Nombre del editor

TuxCare

Logotipo de la editorial