Se han descubierto diversas vulnerabilidades en OpenSSL en el análisis
de codificaciones ASN.1.
La librería OpenSSL es un desarrollo «Open Source» que implementa los
protocolos SSL y TLS, y que es utilizada por multitud de programas,
tanto para implementar dichos protocolos (por ejemplo, HTTPS) como
para emplear sus componentes criptográficos individuales (funciones de
cifrado y «hash», generadores de claves, generadores pseudoaleatorios,
etc).
Determinadas codificaciones ASN.1 rechazadas como no válidas por el
analizador pueden provocar un bug en la liberación de la estructura de
datos correspondiente, provocando una degradación de la pila. Un
atacante puede emplear este problema para provocar una denegación de
servicio. Se desconoce si puede explotarse para ejecutar código
malicioso.
Valores raros de etiquetas ASN.1 pueden provocar un desbordamiento de
búfer, provocando una denegación de servicio.
Una llave pública mal construida en un certificado puede provocar la
caída del código de verificación si está configurada para ignorar los
errores de decodificación de llave pública. Este tipo de errores no se
ignoran habitualmente, excepto para propósitos de depuración, por lo
que no debería afectar a código en producción. Un atacante que logre
explotar exitosamente esta vulnerabilidad podrá provocar una
denegación de servicio.
Debido a un error el tratamiento del protocolo SSL/TLS, un servidor
podrá analizar un certificado cliente cuando este no sea
específicamente solicitado. Esto, propiamente hablando, no constituye
una vulnerabilidad por si mismo, pero implica que todos los servidores
SSL/TLS que usen OpenSSL podrán ser atacados con las anteriores
vulnerabilidades incluso si no tienen habilitada la autenticación del
cliente.
Se ven afectados todas las versiones de OpenSSL hasta la 0.9.6j y
0.9.7b (incluidas) y todas las versiones de SSLeay.
También se verán afectadas todas las aplicaciones que haga uso de la
librería ASN1 de OpenSSL para analizar datos inseguros. Esto incluye
todas las aplicaciones SSL o TLS, que usen S/MIME (PKCS#7) o rutinas
de generación de certificados.
Se recomienda la actualización a OpenSSL 0.9.7c o 0.9.6k. Disponibles
en:
http://www.openssl.org/source/openssl-0.9.7c.tar.gz
http://www.openssl.org/source/openssl-0.9.6k.tar.gz
De igual forma, Cisco también ha informado que los siguientes
dispositivos se ven afectados por estos problemas:
* Cisco IOS 12.1(11)E y posteriores
* Cisco PIX Firewall
* Cisco Firewall Services Module (FWSM) para el Cisco Catalyst serie
6500 y los Cisco serie 7600
* Cisco Network Analysis Modules (NAM) para los switches Cisco
Catalyst serie 6000 y 6500 y para los routers Cisco serie 7600
* Cisco Content Service Switch (CSS) serie 11000
* Cisco Global Site Selector (GSS) 4480
* Cisco Application & Content Networking Software (ACNS)
* Cisco SN 5428 Storage Router
* CiscoWorks 1105 Hosting Solution Engine (HSE)
* CiscoWorks 1105 Wireless LAN Solution Engine (WLSE)
* CiscoWorks Common Services (CMF)
* Cisco SIP Proxy Server (SPS)
* Cisco VPN
antonior@hispasec.com
Más información:
Vulnerabilities in ASN.1 parsing
http://www.openssl.org/news/secadv_20030930.txt
Vulnerability Issues in OpenSSL
http://www.uniras.gov.uk/vuls/2003/006489/openssl.htm
Cisco Security Advisory: SSL Implementation Vulnerabilities
http://www.cisco.com/warp/public/707/cisco-sa-20030930-ssl.shtml
Deja una respuesta