{"id":102627,"date":"2021-12-15T21:36:51","date_gmt":"2021-12-15T19:36:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovlenie-openssl-3-0-1-s-ustraneniem-uyazvimosti"},"modified":"2021-12-15T21:36:51","modified_gmt":"2021-12-15T19:36:51","slug":"obnovlenie-openssl-3-0-1-s-ustraneniem-uyazvimosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/obnovlenie-openssl-3-0-1-s-ustraneniem-uyazvimosti","title":{"rendered":"Actualizaci\u00f3n de OpenSSL 3.0.1 que corrige una vulnerabilidad","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Est\u00e1n disponibles las actualizaciones de la biblioteca criptogr\u00e1fica OpenSSL 3.0.1 y 1.1.1m. En la versi\u00f3n 3.0.1 se ha corregido la vulnerabilidad (CVE-2021-4044) y se han solucionado alrededor de diez errores en ambas versiones. <\/p>\n
La vulnerabilidad est\u00e1 presente en la implementaci\u00f3n de los clientes SSL\/TLS y est\u00e1 relacionada con el hecho de que la biblioteca libssl no maneja correctamente los valores negativos de los c\u00f3digos de error devueltos por la funci\u00f3n X509_verify_cert(), que se llama para verificar el certificado enviado al cliente por el servidor. Los c\u00f3digos negativos se devuelven cuando ocurren errores internos, por ejemplo, si no se puede asignar memoria para un b\u00fafer. Si se devuelve un error de este tipo, la siguiente llamada a las funciones de entrada\/salida, como SSL_connect() y SSL_do_handshake(), resultar\u00e1 en un final no exitoso y un c\u00f3digo de error SSL_ERROR_WANT_RETRY_VERIFY, que solo debe devolverse si la aplicaci\u00f3n previamente realiz\u00f3 una llamada a SSL_CTX_set_cert_verify_callback(). <\/p>\n
Como la mayor\u00eda de las aplicaciones no llaman a SSL_CTX_set_cert_verify_callback(), la aparici\u00f3n del error SSL_ERROR_WANT_RETRY_VERIFY puede ser malinterpretada y llevar a un cierre inesperado, un bucle o a otras reacciones incorrectas. El problema presenta el mayor peligro en combinaci\u00f3n con otro error de OpenSSL 3.0, que provoca un error interno al procesar en X509_verify_cert() certificados sin la extensi\u00f3n \u00abSubject Alternative Name\u00bb, pero con vinculaciones a nombres en restricciones de uso. En este caso, un ataque puede resultar en anomal\u00edas en el manejo de certificados y en el establecimiento de sesiones TLS, dependientes de las aplicaciones. \n Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"