El OpenSSL proyecto emitió un Aviso de seguridad el 8 de diciembre de 2020, advirtiendo a los usuarios de una vulnerabilidad de alta gravedad que afecta a todas las versiones de OpenSSL 1.0.2 y 1.1.1 antes de la versión 1.1.1i. Esta vulnerabilidad podría potencialmente ser aprovechada por un atacante en un ataque de denegación de servicio (DoS):
El tipo X.509 GeneralName es un tipo genérico para representar diferentes tipos de nombres. Uno de esos tipos de nombres se conoce como EDIPartyName. OpenSSL proporciona una función GENERAL_NAME_cmp que compara diferentes instancias de GENERAL_NAME para ver si son iguales o no. Esta función se comporta incorrectamente cuando ambos GENERAL_NAME contienen un EDIPARTYNAME. Es posible que se produzca una desreferencia del puntero NULO y un bloqueo que provoque un posible ataque de denegación de servicio.
OpenSSL utiliza el GENERAL_NAME_cmp funcionan al verificar los puntos de distribución de CRL y los nombres de autoridad de marca de tiempo. Según OpenSSL's asesor, “Si un atacante puede controlar ambos elementos que se comparan, entonces ese atacante podría provocar un bloqueo. Por ejemplo, si el atacante puede engañar a un cliente o servidor para que verifique un certificado malintencionado con una CRL malintencionada, esto puede ocurrir ".
La vulnerabilidad fue informada inicialmente a OpenSSL el 9 de noviembre de 2020 por David Benjamin de Google. Matt Caswell de OpenSSL desarrolló una solución y la implementó en OpenSSL 1.1.1i de diciembre 8, 2020.
Los usuarios de OpenSSL tienen dos rutas para aplicar la corrección, según su versión de OpenSSL y su nivel de soporte:
- Los usuarios de OpenSSL 1.1.1 y los usuarios de 1.0.2 no compatibles deben actualizar a 1.1.1i.
- Los clientes de soporte premium de OpenSSL 1.0.2 deben actualizar a 1.0.2x.
OpenSSL está instalado actualmente en la mayoría de los servidores web HTTPS; por ejemplo, Apache mod_ssl El módulo utiliza la biblioteca OpenSSL para proporcionar SSL /TLS apoyo.
SSL.com insta a todos los usuarios de OpenSSL a actualizar su instalación lo antes posible. La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) también ser dado "Usuarios y administradores para revisar el Asesor de seguridad de OpenSSL y aplicar la actualización necesaria ".
