Múltiples vulnerabilidades en OpenSSL
Fecha de publicación: 26/03/2021
Importancia:
Alta
Recursos afectados:
- OpenSSL 1.1.1h y versiones posteriores están afectadas por la vulnerabilidad CVE-2021-3450;
- todas las versiones de OpenSSL 1.1.1 están afectadas por la vulnerabilidad CVE-2021-3449.
NOTA: las versiones 1.0.2 y 1.1.0 ya no reciben soporte ni actualizaciones, por lo que los usuarios deben actualizar a la versión 1.1.1.
Descripción:
Investigadores, de Akamai y Nokia, reportaron a OpenSSL 2 vulnerabilidades, ambas con severidad alta, de tipo denegación de servicio (DoS) y validación inadecuada del certificado de la Autoridad de Certificación (CA).
Solución:
Actualizar OpenSSL a la versión 1.1.1k.
Detalle:
- Esta vulnerabilidad podría permitir eludir por completo la verificación de un certificado, al no comprobar correctamente la validez de los certificados. Solo afecta si se ha activado el flag X509_V_FLAG_X509_STRICT (no está activo por defecto). Se ha asignado el identificador CVE-2021-3450 para esta vulnerabilidad.
- Un servidor TLS de OpenSSL podría fallar si se le envía un mensaje de renegociación ClientHello de un cliente, lo que generaría una condición de DoS. Un servidor sólo es vulnerable si tiene TLSv1.2 y la renegociación activada (configuración por defecto). Los clientes TLS de OpenSSL no se ven afectados por este problema. Se ha asignado el identificador CVE-2021-3449 para esta vulnerabilidad.
Etiquetas:
Actualización, Comunicaciones, SSL/TLS, Vulnerabilidad
