OpenSSL ha publicado las versiones 1.0.1k, 1.0.0p y 0.9.8zd para corregir un total de 8 fallos de seguridad.
En su Web nos informan sobre las correcciones (2 moderadas y 6 leves).
En las moderadas, encontramos solución para un fallo relacionado con dtls1_get_record y otro con dtls1_buffer_record:
* El primero se producía con un mensaje DTLS manipulado que podía causar DoS. (CVE-2014-3571)
* El segundo ocurría cuando se enviaban repetidamente registros DTLS con el mismo número de secuencia para el siguiente epoch… también causaban DoS pero en este caso por consumo de memoria. (CVE-2015-0206)
Las leves son:
* Una solución para el puntero nulo con no-ssl3. Se producía cuando OpenSSL era compilado con la opción no-ssl3 y se recibía un ClientHello SSL v3. En ese caso el metodo ssl se establecía a NULL y podía provocar referencias a un puntero nulo. (CVE-2014-3569)
* Una solución para el Downgrade a ECDH sin notificación. Sucedía que los clientes OpenSSL aceptaban un handshake utilizando ECDH con un certificado ECDSA si se omitía el intercambio de claves con el servidor. (CVE-2014-3572)
* Una solución para el Downgrade a EXPORT_RSA sin notificación. Sucedía que un cliente OpenSSL aceptaba una clave RSA temporal en un intercambio non-export RSA. (CVE-2015-0204)
* Una solución para la aceptación de Certificados DH de Cliente sin verificación. En este caso, encontramos que un servidor OpenSSL aceptaba un certificado DH para la autenticación con el cliente, sin el mensaje de verificación. (CVE-2015-0205)
* Una solución que repercutía en los certificados de huellas digitales (podían ser modificados). Se conseguía modificando el contenido del algoritmo de firma o la codificación de la firma, sin las actualizaciones era posible cambiar el fingerprint del certificado. (CVE-2014-8275)
* Una solución para Bignum squaring (BN_sqr). De manera aleatoria se producían resultados incorrectos. (CVE-2014-3570)
Habrá que actualizar…
