El lunes 7 de Abril se publicó una
vulnerabilidad en OpenSSL 1.0.1 que permitiría a un atacante obtener 64Kb de memoria.
La vulnerabilidad denominada
Heartbleed, permite leer remotamente la memoria de cualquier sistema que utilice sesiones gestionadas con un OpenSSL vulnerable. Esta vulnerabilidad ha sido descubierta por Neel Mehta del equipo de Google Security, y el CVE reservado (
CVE-2014-0160) fue creado el 3 de Diciembre de 2013.
El bug Heartbleed le permite a cualquiera en Internet leer la memoria de los sistemas protegidos por las versiones vulnerables del software OpenSSL. Esto compromete las claves privadas usadas para identificar a los proveedores de servicios y para cifrar el tráfico, los nombres y contraseñas de usuarios y el contenido. Esto permite a los atacantes fisgonear las comunicaciones, robar datos directamente de los servicios y usuarios, y suplantar a los servicios y a los usuarios.
La información que se podría obtener sería la siguiente:
- Claves privadas
- Usuarios y contraseñas utilizadas en servicios vulnerables
- Información sensible utilizada por servicios vulnerables
- Direcciones de memoria y su contenido que podría permitir evadir mecanismos de mitigación ante exploits.
Puedes probar la seguridad de tu sitio web en
http://filippo.io/Heartbleed.
Se ha puesto a disposición de todos un
listado del TOP 1000 portales web según el ranking de ALEXA, mostrando si son vulnerables o no. El listado corresponde con el estado de dichas webs durante el 8 de abril siendo confeccionada tras la ejecución de la herramienta de comprobación de manera masiva.
Afortunadamente, esto se puede subsanar utilizando versiones no vulnerables
Versiones afectadas:
- OpenSSL 1.0.1 through 1.0.1f (inclusive) are vulnerable
- OpenSSL 1.0.1g is NOT vulnerable
- OpenSSL 1.0.0 branch is NOT vulnerable
- OpenSSL 0.9.8 branch is NOT vulnerable
Algunas distribuciones de sistemas operativos potencialmente vulnerables:
- Debian Wheezy (stable), OpenSSL 1.0.1e-2+deb7u4
- Ubuntu 12.04.4 LTS, OpenSSL 1.0.1-4ubuntu5.11
- CentOS 6.5, OpenSSL 1.0.1e-15
- Fedora 18, OpenSSL 1.0.1e-4
- OpenBSD 5.3 (OpenSSL 1.0.1c 10 May 2012) and 5.4 (OpenSSL 1.0.1c 10 May 2012)
- FreeBSD 10.0 - OpenSSL 1.0.1e 11 Feb 2013
- NetBSD 5.0.2 (OpenSSL 1.0.1e)
- OpenSUSE 12.2 (OpenSSL 1.0.1c)
En CentOS y Fedora actualiza a la última versión disponible a la fecha, openssl-1.0.1e
yum update openssl
Comprobamos
CentOS
[root@danispiri ~]# rpm -q --changelog openssl
* lun abr 07 2014 Tomáš Mráz <tmraz@redhat.com> 1.0.1e-16.7
- fix CVE-2014-0160 - information disclosure in TLS heartbeat extension
Fedora
[danispiri@danispiri ~]$ rpm -q --changelog openssl
* lun abr 07 2014 Dennis Gilmore <dennis@ausil.us> - 1.0.1e-37.1
- pull in upstream patch for CVE-2014-0160
- removed CHANGES file portion from patch for expediency
Fuente:
Heartbleed,
Security By Default,
Segu-Info,
Kriptópolis,
Segu-Info
Una vulneabilidad que permite la inyección de código a través de variables de entorno en bash ha sido descubierto por Stephane Chazelas. La vulnerabilidad, que afecta a RHEL/CentOS/Fedora y otras distribuciones de Linux, se lo ha identificado como CVE-2014-6271.
