.

Breaking News
recent

-

Nuevas vulnerabilidades redescubiertas en OpenSSL y parchada

Nuevas vulnerabilidades redescubiertas en OpenSSL y parchadas después de 4 años de su reporte inicial


OpenSSL parece ser la fuente de muchos problemas, especialmente ahora que la gente ha comenzado a mirar más de cerca el código fuente. Otro bug más ha sido descubierto en el paquete OpenSSL, y para complicar las cosas, es un problema de 4 años de antigüedad que permació sin resolver hasta ahora.


Nuevas vulnerabilidades redescubiertas en OpenSSL y parchada


La agrupacion en línea se acaba de dar cuenta que uno de los componentes más importantes de la infraestructura de internet, OpenSSL, ha sido masivamente ignorado por los desarrolladores, lo que ha acarreado grandes problemas, como el bug Heartbleed.


Ahora que OpenSSL ha sido puesto bajo el microscopio, los desarrolladores han comenzado a encontrar otros problemas, y en este caso, a redescubrir problemas que fueron reportados hace años, pero que han sido ignorados.


El desarrollador de OpenBSD, Ted Unangst, estaba observando el código fuente de OpenSSL para encontrar formas para lidiar con el problema de Heartbleed cuando descubrió que el paquete mostraba un número de contramedidas de mitigación de exploits. Cuando se desactivaban estas contramedidas, OpenSSL dejaba de funcionar.


"OpenSSL usa un freelist personalizado para buffers de conexiones porque hace mucho tiempo en un lugar muy lejano, malloc [la asignación de memoria] era lento. En vez de decirle a la gente que encontraran ellos mismos un mejor malloc, OpenSSL incorporó un freelist LIFO único. Lo adivinaste. OpenSSL hace un mal uso del freelist LIFO. De hecho, el bug que estoy a punto de describir solo puede existir y pasar desapercibido precisamente porque el freelist es LIFO."


"Este bug hubiera sido demasiado trivial para detectar si cuando se introdujo, los desarrolladores de OpenSSL se hubieran molestado en hacer tests con un malloc normal (ni siquiera un malloc enfocado en la seguridad, solo uno que liberara memoria de vez en cuando). En vez de eso, quedó dormido por años hasta que yo estuve buscando una manera de desactivar su acelerador personalizado de asignación de memoria Heartbleed," dijo el desarrollador Ted Unangst.


Resulta que la solución para este problema no es nada complicada y un nuevo parche ha sido enviado por los desarrolladores, debiendo alcanzar a la mayoría de las distribuciones Linux muy pronto. OpenSSL ya está arreglado en Ubuntu 14.04 LTS y todos los demás OS con soporte de Canonical.


La notificación de seguridad en Ubuntu dice que OpenSSL manejaba la memoria incorrectamente en la función ssl3_read_bytes(). Un atacante remoto podría haber usado este problema para causar que OpenSSL crasheara, resultando en denegación de servicio.


Esto no es tan malo como el bug Heartbleed, pero demuestra que tanto le ha faltado al desarrollo de OpenSSL. Una persona encontró este problema hace cuatro años, pero no se hizo nada. OpenSSL está ahora siendo revisado desde todos los ángulos posibles, pero quien sabe cuantos otros problemas permanecen ignorados en otros paquetes importantes.








Un saludo.

No hay comentarios:

Publicar un comentario en la entrada

-

Con la tecnología de Blogger.