El Proyecto OpenSSL ha publicado correcciones para abordar varios fallos de seguridad, incluido un error de alta gravedad en el conjunto de herramientas de cifrado de c\u00f3digo abierto que podr\u00eda exponer a los usuarios a ataques maliciosos.<\/p>\n
rastreado como CVE-2023-0286<\/strong><\/a>el problema se relaciona con un caso de confusi\u00f3n de tipos que puede permitir que un adversario “lea el contenido de la memoria o promulgue una denegaci\u00f3n de servicio”, dijeron los mantenedores en un aviso.<\/p>\n La vulnerabilidad tiene su origen en la forma en que la popular biblioteca criptogr\u00e1fica maneja los certificados X.509 y es probable que afecte solo a aquellas aplicaciones que tienen una implementaci\u00f3n personalizada para recuperar una lista de revocaci\u00f3n de certificados (CRL<\/a>) a trav\u00e9s de una red.<\/p>\n “En la mayor\u00eda de los casos, el ataque requiere que el atacante proporcione tanto la cadena de certificados como la CRL, ninguno de los cuales necesita tener una firma v\u00e1lida”, OpenSSL dicho<\/a>. “Si el atacante solo controla una de estas entradas, la otra entrada ya debe contener una direcci\u00f3n X.400 como punto de distribuci\u00f3n de CRL, lo cual es poco com\u00fan”.<\/p>\n Errores de confusi\u00f3n de tipo podr\u00edan tener consecuencias graves<\/a>ya que podr\u00edan usarse como armas para obligar deliberadamente al programa a comportarse de manera no deseada, lo que posiblemente provoque un bloqueo o la ejecuci\u00f3n del c\u00f3digo.<\/p>\n El problema se solucion\u00f3 en las versiones 3.0.8, 1.1.1t y 1.0.2zg de OpenSSL. Otros fallos de seguridad dirigido<\/a> como parte de las \u00faltimas actualizaciones incluyen:<\/p>\n La explotaci\u00f3n exitosa de las deficiencias anteriores podr\u00eda provocar un bloqueo de la aplicaci\u00f3n, revelar el contenido de la memoria e incluso recuperar mensajes de texto sin formato enviados a trav\u00e9s de una red aprovechando un canal lateral basado en tiempo<\/a> en lo que es un ataque al estilo Bleichenbacher.<\/p>\n Las correcciones llegan casi dos meses despu\u00e9s de que OpenSSL corrigi\u00f3 una falla de baja gravedad (CVE-2022-3996<\/a>) que surge al procesar un certificado X.509, lo que resulta en una condici\u00f3n de denegaci\u00f3n de servicio.<\/p>\n <\/p>\n\n