Bug OpenSSL - Heartbleed - Vulnerabilidad y Fix

Estamos ante una de las vulnerabilidades más graves (opinión personal) de los últimos años. Y no sólo vulnerabilidad, la explotación tiene efectos que sinceramente, tras verlos, asustan.

El día 7 de Abril se publicó una No tienes permitido ver enlaces. Registrate o Entra a tu cuenta que permitiría a un atacante obtener 64Kb de memoria. Pueden parecer pocos, pero os aseguro que en dicha sección de memoria se pueden encontrar credenciales, cookies de sesión, claves privadas, etc, de los clientes y servidores conectados al servidor vulnerable. No tienes permitido ver enlaces. Registrate o Entra a tu cuenta, han sido unas navidades anticipadas con un regalo en forma de vulnerabilidad que permite ser explotada en cualquier servicio vulnerable expuesto sin apenas ser detectado.

Esta vulnerabilidad ha sido descubierta por Neel Mehta del equipo de Google Security, y el CVE reservado (CVE-2014-0160) fue creado el 3 de Diciembre de 2013:



Impacto tras explotación

La información que se podría obtener sería la siguiente:

    1.- Claves privadas
    2.- Usuarios y contraseñas utilizadas en servicios vulnerables
    3.- Información sensible utilizada por servicios vulnerables
    4.- Direcciones de memoria y su contenido que podría permitir evadir mecanismos de mitigación ante exploits.

¿Mi servidor es vulnerable?

Rápidamente, comenzaron a publicarse herramientas que permitían tanto comprobar si un servidor es vulnerable como obtener la información tras su explotación.



El caso más sonado fue el de No tienes permitido ver enlaces. Registrate o Entra a tu cuenta, cuya página de autenticación de usuarios No tienes permitido ver enlaces. Registrate o Entra a tu cuenta ha sido vulnerable durante un día entero, corriendo imágenes de su explotación como la pólvora en redes sociales, mostrándose usuarios y contraseñas (en caso de encontrarse conectados en el momento del análisis).


Cómo corregir esta vulnerabilidad

Lo primero y más importante, actualizar la librería OpenSSL a una versión no vulnerable, a partir de la 1.0.1g. También se recomienda encarecidamente regenerar toda aquella información afectada, claves de usuarios, claves privadas... Esta tarea puede ser ardua y suponer un esfuerzo considerable, pero nadie nos asegura si, durante el período hasta la actualización de nuestros servicios vulnerables, pudiera haberse explotado este fallo para obtener de manera masiva información sensible.

Otro método para su corrección consiste en deshabilitar el soporte de Heartbeat en OpenSSL, recompilándolo con la opción -DOPENSSL_NO_HEARTBEATS

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta se pueden ver las modificaciones realizadas sobre los ficheros d1_both.c y t1_lib.c que solventarían esta grave vulnerabilidad.

¿Qué páginas se encuentran afectadas?

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

Se ha puesto a disposición de todos un No tienes permitido ver enlaces. Registrate o Entra a tu cuenta portales web según el ranking de ALEXA, mostrando si son vulnerables o no. El listado corresponde con el estado de dichas webs durante el 8 de abril siendo confeccionada tras la ejecución de la herramienta de comprobación de manera masiva.


Muchas páginas de proyectos importantes, No tienes permitido ver enlaces. Registrate o Entra a tu cuenta, tuvieron constancia de la vulnerabilidad una semana antes de su publicación, teniendo tiempo para corregir la vulnerabilidad en sus servidores. Otros muchos, parece que han hecho caso omiso aún habiendo tenido el privilegio de haber sido informados (ya que todo ha seguido las normas del responsible disclosure).

Existe una página considerada "oficial" de Heartbleed dedicada a intentar responder todas las preguntas referentes a esta vulnerabilidad: No tienes permitido ver enlaces. Registrate o Entra a tu cuenta .

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta dentro del No tienes permitido ver enlaces. Registrate o Entra a tu cuenta se encuentran todos los fabricantes afectados hasta el momento.

Fuente: Securitybydefault

hola ANTRAX yo no se mucho sobre este tema del hacking pero de casualidad sabes como expotarlo?

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
hola ANTRAX yo no se mucho sobre este tema del hacking pero de casualidad sabes como expotarlo?

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

espero que no lo tomen como spam XD ahi te explico como explotarla xD

Gracias por la info! Razón no te falta Antrax, muy serio este bug.

Saludos.

arthusu, puedes poner el post y el link a tu blog como fuente. Pero dejar solo el link, es spam

buen post, pero me estuve fijando y habre puesto 30 webs para ver si habia alguna vulnerable, y no salio ni 1. Testeado con la web publicada para testear...

Ya no habran mas webs vulnerables??, o el testing no funciona bien?, solamente queria probar con 1 aver que onda...