Boletines de Vulnerabilidades

int(6668)

Actualización de seguridad para OpenSSL
Clasificación de la vulnerabilidad
Propiedad	Valor
Nivel de Confianza	Oficial
Impacto	Aumento de la visibilidad
Dificultad	Avanzado
Requerimientos del atacante	Acceso remoto sin cuenta a un servicio estandar
Información sobre el sistema
Propiedad	Valor
Fabricante afectado	GNU/Linux
Software afectado	Todas las versiones de OpenSSL están afectadas incluyendo 1.0.1c, 1.0.0j y 0.9.8x.
Descripción
Según los investigadores, la vulnerabilidad permitiría llevar a cabo ataques man-in-the-middle con los que se podría conseguir conexiones TLS/DTLS en texto plano, cuando el modo de operación CBC (Cipher-block chain) está habilitado. Un error de temporización en la forma en la que trabaja el descifrado TLS cuando se utiliza CBC permitiría, cuando se dan una serie de circunstancias, que un atacante pudiera descifrar información confidencial como contraseñas o cookies. Esta vulnerabilidad es parcialmente mitigada cuando se utiliza OpenSSL junto con el módulo OpenSSL FIPS Object y cuando el modo FIPS está habilitado.
Solución
Todos los usuarios afectados deben actualizar a OpenSSL 1.0.1d, 1.0.0k o 0.9.8y.
Identificadores estándar
Propiedad	Valor
CVE	CVE-2013-0169
BID
Recursos adicionales
SSL, TLS and DTLS Plaintext Recovery Attack (CVE-2013-0169) http://www.openssl.org/news/secadv_20130204.txt