(http://4.bp.blogspot.com/-hsFK2HKNZ4w/U0O-l4HBqnI/AAAAAAAAC18/WaWWpivgzxs/s1600/heartbleed.png)
Estamos ante una de las vulnerabilidades más graves (opinión personal) de los últimos años. Y no sólo vulnerabilidad, la explotación tiene efectos que sinceramente, tras verlos, asustan.
El día 7 de Abril se publicó una
vulnerabilidad en OpenSSL 1.0.1 (https://www.openssl.org/news/secadv_20140407.txt) que permitiría a un atacante obtener 64Kb de memoria. Pueden parecer pocos, pero os aseguro que en dicha sección de memoria se pueden encontrar credenciales, cookies de sesión, claves privadas, etc, de los clientes y servidores conectados al servidor vulnerable.
El aluvión de tweets referentes a este tema fue masivo (http://securityreactions.tumblr.com/post/82106170007/dealing-with-all-the-heartbleed-tweets), han sido unas navidades anticipadas con un regalo en forma de vulnerabilidad que permite ser explotada en cualquier servicio vulnerable expuesto sin apenas ser detectado.
Esta vulnerabilidad ha sido descubierta por Neel Mehta del equipo de Google Security, y el CVE reservado (CVE-2014-0160) fue creado el 3 de Diciembre de 2013:
(http://4.bp.blogspot.com/-4BvcQENubVc/U0RUptVHXvI/AAAAAAAAC2M/S4HVZuyGXqU/s1600/CVE-2014-0160.png)
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0160
Impacto tras explotaciónLa información que se podría obtener sería la siguiente:
1.- Claves privadas
2.- Usuarios y contraseñas utilizadas en servicios vulnerables
3.- Información sensible utilizada por servicios vulnerables
4.- Direcciones de memoria y su contenido que podría permitir evadir mecanismos de mitigación ante exploits.
¿Mi servidor es vulnerable?Rápidamente, comenzaron a publicarse herramientas que permitían tanto comprobar si un servidor es vulnerable como obtener la información tras su explotación.
(http://2.bp.blogspot.com/-dguIg4YhUUo/U0RbZWRd_UI/AAAAAAAAC2w/q_ebPqSEX8g/s1600/tool-online-heartbleed.png)
Servicio online en http://filippo.io/Heartbleed para comprobar si un servicio web es vulnerable
El caso más sonado fue el de Yahoo.com, cuya página de autenticación de usuarios login.yahoo.com ha sido vulnerable durante un día entero, corriendo imágenes de su explotación como la pólvora en redes sociales, mostrándose usuarios y contraseñas (en caso de encontrarse conectados en el momento del análisis).
(http://4.bp.blogspot.com/-Qly3z3EGYp0/U0RZil2h5nI/AAAAAAAAC2c/QI8RAzQqiug/s1600/yahoo-heartbleed.png)
Cómo corregir esta vulnerabilidadLo primero y más importante, actualizar la librería OpenSSL a una versión no vulnerable, a partir de la 1.0.1g. También se recomienda encarecidamente regenerar toda aquella información afectada, claves de usuarios, claves privadas... Esta tarea puede ser ardua y suponer un esfuerzo considerable, pero nadie nos asegura si, durante el período hasta la actualización de nuestros servicios vulnerables, pudiera haberse explotado este fallo para obtener de manera masiva información sensible.
Otro método para su corrección consiste en deshabilitar el soporte de Heartbeat en OpenSSL, recompilándolo con la opción -DOPENSSL_NO_HEARTBEATS
En este enlace del GIT de openssl (http://git.openssl.org/gitweb/?p=openssl.git;a=commitdiff;h=96db9023b881d7cd9f379b0c154650d6c108e9a3) se pueden ver las modificaciones realizadas sobre los ficheros d1_both.c y t1_lib.c que solventarían esta grave vulnerabilidad.
¿Qué páginas se encuentran afectadas?Unas cuantas... (http://news.netcraft.com/archives/2014/04/08/half-a-million-widely-trusted-websites-vulnerable-to-heartbleed-bug.html)
Se ha puesto a disposición de todos un
listado del TOP 1000 (https://github.com/musalbas/heartbleed-masstest/blob/master/top1000.txt) portales web según el ranking de ALEXA, mostrando si son vulnerables o no. El listado corresponde con el estado de dichas webs durante el 8 de abril siendo confeccionada tras la ejecución de la herramienta de comprobación de manera masiva.
(http://1.bp.blogspot.com/-IUBaTBkjUMU/U0RaJZyDxwI/AAAAAAAAC2k/iPG9cV1eGc0/s1600/top1000-vuln.png)
Muchas páginas de proyectos importantes,
como Cloudflare que lo indica en un post dentro de su blog (https://blog.cloudflare.com/staying-ahead-of-openssl-vulnerabilities), tuvieron constancia de la vulnerabilidad una semana antes de su publicación, teniendo tiempo para corregir la vulnerabilidad en sus servidores. Otros muchos, parece que han hecho caso omiso aún habiendo tenido el privilegio de haber sido informados (ya que todo ha seguido las normas del responsible disclosure).
Existe una página considerada "oficial" de Heartbleed dedicada a intentar responder todas las preguntas referentes a esta vulnerabilidad: http://heartbleed.com .
En el siguiente listado disponible (http://www.kb.cert.org/vuls/byvendor?searchview&Query=FIELD+Reference=720951&SearchOrder=4) dentro del
advisory en kb.cert.org (http://www.kb.cert.org/vuls/id/720951) se encuentran todos los fabricantes afectados hasta el momento.
Fuente: Securitybydefault
hola ANTRAX yo no se mucho sobre este tema del hacking pero de casualidad sabes como expotarlo?
https://github.com/FiloSottile/Heartbleed
No tienes permitido ver los links.
Registrarse o Entrar a mi cuenta
hola ANTRAX yo no se mucho sobre este tema del hacking pero de casualidad sabes como expotarlo?
https://github.com/FiloSottile/Heartbleed
http://www.arthusu.com.mx/2014/04/openssl-heartbleed-vulnerability.html
espero que no lo tomen como spam XD :P ahi te explico como explotarla xD
Gracias por la info! Razón no te falta Antrax, muy serio este bug.
Saludos.
arthusu, puedes poner el post y el link a tu blog como fuente. Pero dejar solo el link, es spam
buen post, pero me estuve fijando y habre puesto 30 webs para ver si habia alguna vulnerable, y no salio ni 1. Testeado con la web publicada para testear...
Ya no habran mas webs vulnerables??, o el testing no funciona bien?, solamente queria probar con 1 aver que onda...