{"id":144089,"date":"2025-10-03T17:12:04","date_gmt":"2025-10-03T15:12:04","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-openssl-3-6-0-s-podderzhkoj-evp_skey-i-ustraneniem-perepolneniya-bufera"},"modified":"2025-10-03T17:12:04","modified_gmt":"2025-10-03T15:12:04","slug":"vypusk-openssl-3-6-0-s-podderzhkoj-evp_skey-i-ustraneniem-perepolneniya-bufera","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/vypusk-openssl-3-6-0-s-podderzhkoj-evp_skey-i-ustraneniem-perepolneniya-bufera","title":{"rendered":"Lanzamiento de OpenSSL 3.6.0 con soporte para EVP_SKEY y correcci\u00f3n de desbordamiento de b\u00fafer.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Se lanz\u00f3 la biblioteca OpenSSL 3.6.0, que ofrece la implementaci\u00f3n de los protocolos SSL\/TLS y varios algoritmos de cifrado. OpenSSL 3.6 se clasifica como una versi\u00f3n con soporte normal, con actualizaciones lanzadas durante 13 meses. El soporte para las versiones anteriores OpenSSL 3.5 LTS, 3.4, 3.3, 3.2 y 3.0 LTS continuar\u00e1 hasta abril de 2030, octubre de 2026, abril de 2026, noviembre de 2025 y septiembre de 2026, respectivamente. El c\u00f3digo del proyecto se distribuye bajo la licencia Apache 2.0. <\/p>\n
Novedades principales: <\/p>\n
\n
Se a\u00f1adi\u00f3 soporte para la estructura EVP_SKEY (Clave Sim\u00e9trica) para representar claves sim\u00e9tricas como objetos opacos. A diferencia de las claves raw, que se presentan como una matriz de bytes, en la estructura EVP_SKEY la clave se abstrae y contiene metadatos adicionales. Se permite el uso de EVP_SKEY en funciones de cifrado, intercambio de claves y formaci\u00f3n de claves (KDF). Para trabajar con claves EVP_SKEY se a\u00f1adieron las funciones EVP_KDF_CTX_set_SKEY(), EVP_KDF_derive_SKEY() y EVP_PKEY_derive_SKEY().\n
Se a\u00f1adi\u00f3 soporte para la verificaci\u00f3n de firmas digitales basadas en el esquema LMS (Leighton-Micali Signatures), que utiliza funciones hash y hashing en \u00e1rbol en forma de \u00e1rbol de Merkle (Merkle Tree, donde cada rama verifica todas las ramas y nodos subyacentes). Las firmas digitales LMS son resistentes a la b\u00fasqueda en computadoras cu\u00e1nticas y est\u00e1n dise\u00f1adas para garantizar la integridad de firmware y aplicaciones.\n
Se ha a\u00f1adido soporte para las categor\u00edas de seguridad NIST en los par\u00e1metros de los objetos PKEY (claves p\u00fablicas y privadas). La categor\u00eda de seguridad se establece a trav\u00e9s de la configuraci\u00f3n «security-category». Se ha a\u00f1adido la funci\u00f3n EVP_PKEY_get_security_category() para verificar el nivel de seguridad. El nivel de seguridad refleja la resistencia al ataque en computadoras cu\u00e1nticas y puede tomar valores enteros del 0 al 5:\n
\n
0 — implementaci\u00f3n no resistente a ataques en computadoras cu\u00e1nticas;\n
1\/3\/5 — la implementaci\u00f3n no excluye la b\u00fasqueda en una computadora cu\u00e1ntica de la clave en un cifrado por bloques con claves de 128\/192\/256 bits;\n
2\/4 — la implementaci\u00f3n no excluye la b\u00fasqueda en una computadora cu\u00e1ntica de colisiones en un hash de 256\/384 bits). <\/ul>\n
Se ha a\u00f1adido el comando «openssl configutl» para procesar el archivo de configuraci\u00f3n. La utilidad permite, bas\u00e1ndose en una configuraci\u00f3n multi-archivo con inclusiones, formar un archivo resumen con todos los ajustes.\n
El proveedor de criptograf\u00eda FIPS ha a\u00f1adido soporte para la generaci\u00f3n determinista de firmas digitales ECDSA (se genera la misma firma con los mismos datos de entrada), de acuerdo con los requisitos de la norma FIPS 186-5.\n
Se han aumentado los requisitos para el entorno de compilaci\u00f3n. Para compilar OpenSSL ya no es suficiente contar con herramientas que soporten ANSI-C y se requiere un compilador compatible con el est\u00e1ndar C-99.\n
Se han declarado obsoletas las funciones relacionadas con la estructura EVP_PKEY_ASN1_METHOD.\n
Se ha terminado el soporte para la plataforma VxWorks. <\/ul>\n
Vulnerabilidades corregidas: <\/p>\n
\n
CVE-2025-9230 — vulnerabilidad en el c\u00f3digo de descifrado de mensajes CMS cifrados con el uso de una contrase\u00f1a (PWRI). La vulnerabilidad puede resultar en la escritura y lectura de datos fuera del b\u00fafer asignado, lo que permite iniciar un cierre inesperado o da\u00f1ar la memoria en una aplicaci\u00f3n que utiliza OpenSSL para procesar mensajes CMS. No se excluye la explotaci\u00f3n de la vulnerabilidad para ejecutar su propio c\u00f3digo, pero el peligro del problema se reduce debido a que el cifrado de mensajes CMS utilizando una contrase\u00f1a se aplica raramente en la pr\u00e1ctica. Adem\u00e1s de la versi\u00f3n OpenSSL 3.6.0, la vulnerabilidad ha sido solucionada en las versiones OpenSSL 3.5.4, 3.4.3, 3.3.5, 3.2.6 y 3.0.18. El problema tambi\u00e9n se ha corregido en las actualizaciones de la biblioteca LibreSSL 4.0.1 y 4.1.1, desarrollada por el proyecto OpenBSD.\n
CVE-2025-9231 — la implementaci\u00f3n del algoritmo SM2 es vulnerable a ataques a trav\u00e9s de canales laterales, que permiten en sistemas con CPU ARM de 64 bits recrear la clave privada al analizar el cambio en el tiempo de ejecuci\u00f3n de c\u00e1lculos individuales. Potencialmente, el ataque puede ser realizado de forma remota. El riesgo del ataque se reduce debido a que OpenSSL no soporta directamente el uso de certificados con claves SM2 en TLS.\n
CVE-2025-9232 \u2014 vulnerabilidad en la implementaci\u00f3n del cliente HTTP integrado, que lleva a la lectura de datos en zonas fuera del buffer al procesar funciones del Cliente HTTP con una URL especialmente dise\u00f1ada. El problema se presenta \u00fanicamente cuando la variable de entorno \u00abno_proxy\u00bb est\u00e1 establecida y puede provocar la finalizaci\u00f3n abrupta de la aplicaci\u00f3n. <\/ul>\n