es en ca es es pt es es es eo es es en es id en en es pt es es es eo es es en es es es es es es es es es es es es es es es gl es es es es es es es es es es fr es en en en es en en en
Los mantenedores de OpenSSL han publicado una solución para dos fallas de seguridad de alta gravedad en su software que podrían explotarse para llevar a cabo ataques de denegación de servicio (DoS) y eludir la verificación de certificados.
rastreado como CVE-2021-3449 y CVE-2021-3450, ambas vulnerabilidades se han resuelto en una actualización (versión OpenSSL 1.1.1k) publicada el jueves. Mientras que CVE-2021-3449 afecta a todas las versiones de OpenSSL 1.1.1, CVE-2021-3450 afecta a las versiones de OpenSSL 1.1.1h y posteriores.
OpenSSL es una biblioteca de software que consta de funciones criptográficas que implementan el protocolo de seguridad de la capa de transporte con el objetivo de proteger las comunicaciones enviadas a través de una red informática.
Nokia, a quien se le atribuyó el informe de la falla el 17 de marzo, solucionó el error DoS con un cambio de código de una línea.
CVE-2021-3450, por otro lado, se relaciona con un indicador X509_V_FLAG_X509_STRICT que permite verificaciones de seguridad adicionales de los certificados presentes en una cadena de certificados. Si bien este indicador no está configurado de manera predeterminada, un error en la implementación significó que OpenSSL no pudo verificar que «los certificados que no son de CA no deben poder emitir otros certificados», lo que resultó en una omisión del certificado.
Como resultado, la falla impedía que las aplicaciones rechazaran los certificados TLS que no están firmados digitalmente por una autoridad certificadora (CA) de confianza del navegador.
«Para verse afectada, una aplicación debe establecer explícitamente el indicador de verificación X509_V_FLAG_X509_STRICT y no establecer un propósito para la verificación del certificado o, en el caso de las aplicaciones de servidor o cliente TLS, anular el propósito predeterminado», dijo OpenSSL.
Se dice que Benjamin Kaduk de Akamai informó el problema a los mantenedores del proyecto el 18 de marzo. La vulnerabilidad fue descubierta por Xiang Ding y otros en Akamai, con una solución implementada por el ex ingeniero de software principal de Red Hat y desarrollador de OpenSSL, Tomáš Mráz.
Aunque ninguno de los problemas afecta a OpenSSL 1.0.2, también vale la pena señalar que la versión ha estado fuera de soporte desde el 1 de enero de 2020 y ya no recibe actualizaciones. Se recomienda que las aplicaciones que dependen de una versión vulnerable de OpenSSL apliquen los parches para mitigar el riesgo asociado con las fallas.
La policía investiga un ‘incidente cibernético’ en el grupo médico de Guernsey
El ransomware GandCrab y el virus Ursnif se propagan a través de macros de MS Word
Investigadores lanzan herramienta que encuentra robots vulnerables en Internet
Nuevo exploit amenaza a más de 9000 enrutadores Cisco RV320 / RV325 hackeables en todo el mundo
El nuevo error de FaceTime permite que las personas que llaman lo escuchen y lo vean sin que usted responda
La policía cerró xDedic: un mercado en línea para los ciberdelincuentes
Deja una respuesta Cancelar la respuesta
Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *
Guarda mi nombre, correo electrónico y web en este navegador para la próxima vez que comente.
Copyright © 2022, cursohacker.es | Aviso legal
Suscríbete a nuestra lista si te interesa recibir turcos exclusivos sobre hacking y seguridad informática