{"id":123627,"date":"2025-04-22T09:05:07","date_gmt":"2025-04-22T07:05:07","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-udostoveryayushhem-czentre-ssl-com-pozvolyavshaya-poluchit-sertifikat-dlya-chuzhogo-domena"},"modified":"2025-04-22T09:05:07","modified_gmt":"2025-04-22T07:05:07","slug":"uyazvimost-v-udostoveryayushhem-czentre-ssl-com-pozvolyavshaya-poluchit-sertifikat-dlya-chuzhogo-domena","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/uyazvimost-v-udostoveryayushhem-czentre-ssl-com-pozvolyavshaya-poluchit-sertifikat-dlya-chuzhogo-domena","title":{"rendered":"Vulnerabilidad en la autoridad certificadora SSL.com que permit\u00eda obtener un certificado para un dominio ajeno","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Se ha descubierto una vulnerabilidad en el sistema de verificaci\u00f3n de propiedad de dominio en el centro de certificaci\u00f3n SSL.com, que permit\u00eda obtener un certificado TLS para cualquier dominio que proporcionara un correo electr\u00f3nico al atacante. Para obtener un certificado TLS, era suficiente tener acceso al correo electr\u00f3nico del dominio objetivo. Por ejemplo, la vulnerabilidad permit\u00eda obtener un certificado TLS para dominios utilizados en servicios de correo electr\u00f3nico p\u00fablicos, como gmail.com, yandex.ru, yahoo.com, outlook.com e icloud.com. <\/p>\n

La vulnerabilidad tambi\u00e9n otorgaba a los delincuentes la capacidad de llevar a cabo ataques dirigidos a empleados de empresas reconocidas y participantes de grandes proyectos para apoderarse de sus correos electr\u00f3nicos y obtener certificados TLS para individuos conocidos. dominios<\/a>. Por ejemplo, la pirater\u00eda de un empleado de Google, que ten\u00eda el correo electr\u00f3nico name@google.com, permit\u00eda obtener un certificado para un dominio<\/a> google.com. <\/p>\n

La vulnerabilidad fue provocada por un error en la implementaci\u00f3n del sistema de verificaci\u00f3n de propiedad de dominio a trav\u00e9s de la confirmaci\u00f3n por correo electr\u00f3nico. Para obtener la confirmaci\u00f3n por correo electr\u00f3nico, es necesario agregar un registro DNS TXT «_validation-contactemail» en la zona DNS del dominio para el cual se solicita el certificado. Por ejemplo, «_validation-contactemail.test.com DNS TXT name@example.com». Despu\u00e9s de iniciar la verificaci\u00f3n del dominio, se enviar\u00e1 un c\u00f3digo de confirmaci\u00f3n al correo electr\u00f3nico name@examle.com, cuya introducci\u00f3n confirmar\u00e1 la propiedad del dominio «test.com» y permitir\u00e1 obtener el certificado TLS para «test.com». <\/p>\n

La esencia de la vulnerabilidad es que, adem\u00e1s del dominio «test.com», para el cual se solicit\u00f3 el certificado, el indicativo de confirmaci\u00f3n de propiedad tambi\u00e9n se asign\u00f3 al dominio «example.com», utilizado en el correo electr\u00f3nico. El investigador que descubri\u00f3 el problema demostr\u00f3 la obtenci\u00f3n de un certificado TLS v\u00e1lido para el dominio aliyun.com, utilizado en el servicio de webmail de la empresa china Alibaba. Durante un ataque de prueba, el investigador registr\u00f3 un dominio de verificaci\u00f3n «d2b4eee07de5efcb8598f0586cbf2690.test.dcv-inspector.com» en el servicio «dcv-inspector.com» y solicit\u00f3 un certificado TLS para este, a\u00f1adiendo el registro DNS: _validation-contactemail.d2b4eee07de5efcb8598f0586cbf2690.test.dcv-inspector.com DNS TXT myusername@aliyun.com <\/p>\n

Despu\u00e9s de esto, solicit\u00f3 en el sitio SSL.com un certificado TLS para el dominio d2b4eee07de5efcb8598f0586cbf2690.test.dcv-inspector.com y eligi\u00f3 la confirmaci\u00f3n por correo electr\u00f3nico. La autoridad certificadora SSL.com envi\u00f3 el c\u00f3digo de verificaci\u00f3n a myusername@aliyun.com y, tras introducir este c\u00f3digo, a\u00f1adi\u00f3 a la lista de dominios verificados no solo «d2b4eee07de5efcb8598f0586cbf2690.test.dcv-inspector.com», sino tambi\u00e9n «aliyun.com». Despu\u00e9s de esto, el investigador obtuvo exitosamente un certificado TLS para el dominio «aliyun.com», cuya propiedad fue confirmada. <\/p>\n

La autoridad de certificaci\u00f3n SSL.com solucion\u00f3 el problema e identific\u00f3 11 certificados que fueron emitidos utilizando un esquema de verificaci\u00f3n vulnerable con un dominio externo en el correo electr\u00f3nico. Presuntamente, en los casos identificados no hay se\u00f1ales de actividad maliciosa y de los 11, solo se ha revocado un certificado, el obtenido por el investigador para el sitio aliyun.com. En los otros certificados figuraban los dominios medinet.ca, help.gurusoft.com.sg, banners.betvictor.com, production-boomi.3day.com, kisales.com y medc.kisales.com. La empresa SSL.com tiene la intenci\u00f3n de publicar un informe sobre el incidente antes del 2 de mayo.
\n
Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u0443\u0434\u043e\u0441\u0442\u043e\u0432\u0435\u0440\u044f\u044e\u0449\u0435\u043c \u0446\u0435\u043d\u0442\u0440\u0435 SSL.com \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0432\u043b\u0430\u0434\u0435\u043d\u0438\u044f \u0434\u043e\u043c\u0435\u043d\u043e\u043c, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0432\u0448\u0430\u044f \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c TLS-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0434\u043b\u044f \u043b\u044e\u0431\u043e\u0433\u043e \u0434\u043e\u043c\u0435\u043d\u0430, \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u0438\u0432\u0448\u0435\u0433\u043e email \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0435\u043c\u0443. \u0414\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f TLS-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 \u0431\u044b\u043b\u043e \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u043a email \u0441 \u0446\u0435\u043b\u0435\u0432\u044b\u043c \u0434\u043e\u043c\u0435\u043d\u043e\u043c. \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u043b\u0430 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c TLS-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0434\u043b\u044f \u0434\u043e\u043c\u0435\u043d\u043e\u0432, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u044b\u0445 \u0432 \u043e\u0431\u0449\u0435\u0434\u043e\u0441\u0442\u0443\u043f\u043d\u044b\u0445 email-\u0441\u0435\u0440\u0432\u0438\u0441\u0430\u0445, \u0442\u0430\u043a\u0438\u0445 \u043a\u0430\u043a gmail.com, yandex.ru, yahoo.com, outlook.com \u0438 icloud.com. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0442\u0430\u043a\u0436\u0435 \u0434\u0430\u0432\u0430\u043b\u0430 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430\u043c \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-123627","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Vulnerabilidad en la autoridad de certificaci\u00f3n SSL.com que permit\u00eda obtener un certificado para un dominio ajeno | ProHoster","description":"Se ha identificado una vulnerabilidad en el sistema de verificaci\u00f3n de propiedad de dominio de SSL.com que permit\u00eda obtener un certificado TLS para cualquier dominio que proporcionara un correo electr\u00f3nico al atacante.","canonical_url":"https:\/\/prohoster.info\/es\/blog\/news\/uyazvimost-v-udostoveryayushhem-czentre-ssl-com-pozvolyavshaya-poluchit-sertifikat-dlya-chuzhogo-domena","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 \u0443\u0434\u043e\u0441\u0442\u043e\u0432\u0435\u0440\u044f\u044e\u0449\u0435\u043c \u0446\u0435\u043d\u0442\u0440\u0435 SSL.com, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0432\u0448\u0430\u044f \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0434\u043b\u044f \u0447\u0443\u0436\u043e\u0433\u043e \u0434\u043e\u043c\u0435\u043d\u0430 | ProHoster","og:description":"\u0412 \u0443\u0434\u043e\u0441\u0442\u043e\u0432\u0435\u0440\u044f\u044e\u0449\u0435\u043c \u0446\u0435\u043d\u0442\u0440\u0435 SSL.com \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0432\u043b\u0430\u0434\u0435\u043d\u0438\u044f \u0434\u043e\u043c\u0435\u043d\u043e\u043c, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0432\u0448\u0430\u044f \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c TLS-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0434\u043b\u044f \u043b\u044e\u0431\u043e\u0433\u043e \u0434\u043e\u043c\u0435\u043d\u0430, \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u0438\u0432\u0448\u0435\u0433\u043e email \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0435\u043c\u0443.","og:url":"https:\/\/prohoster.info\/es\/blog\/news\/uyazvimost-v-udostoveryayushhem-czentre-ssl-com-pozvolyavshaya-poluchit-sertifikat-dlya-chuzhogo-domena","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2025-04-22T07:05:07+00:00","article:modified_time":"2025-04-22T07:05:07+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"123627","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-11 11:16:23","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-01-23 12:22:22","updated":"2026-02-11 11:16:23","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/123627","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=123627"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/123627\/revisions"}],"predecessor-version":[{"id":160581,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/123627\/revisions\/160581"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=123627"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=123627"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=123627"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}