Denegación de servicio en OpenSSL
Se ha publicado una actualización de OpenSSL que corrige una vulnerabilidad que podría ser aprovechada por un atacante remoto para causar una denegación de servicio.
La vulnerabilidad, a la cual se le ha asignado el CVE-2010-0740 y ha sido bautizada con el reminiscente nombre de "Record of Death", fue descubierta y corregida por Bodo Moeller y Adam Langley, colaboradores habituales del proyecto.
El error se encuentra en el archivo "ssl/s3_pkt.c", concretamente en la función "ssl3_get_record".
Durante las conexiones TLS, el servidor o cliente pueden dejar de responder al recibir paquetes con un formato incorrecto en los registros, cuyo procesamiento podría desembocar en un intento de lectura a NULL.
Dicha vulnerabilidad afecta a todas las versiones desde 0.9.8f hasta la 0.9.8m y en esta última, sólo en el caso que haya sido compilada con un compilador que posea el tipo "short" definido como entero de 16 bits. OpenSSL ha publicado una actualización que corrige esta vulnerabilidad en la versión 0.9.8n.
Opina sobre esta noticia:
Más información: "Record of death" vulnerability in OpenSSL 0.9.8f through 0.9.8m
Comentarios
Publicar un comentario