Y seguimos con las vulnerabilidades críticas, tras los problemas de bash en las últimas semanas con las vulnerabilidades CVE-2014-6271 y CVE-2014-7169 ahora le toca el turno al protocolo SSL (OpenSSL no se salva, por supuesto) con una vulnerabilidad (CVE-2014-3566) detectada ayer 14 de octubre y que todavía está siendo investigada por Bodo Möller, Thai Duong y Krzysztof Kotowicz que son los que han descubierto la vulnerabilidad.
El protocolo SSL 3.0 es un protocolo que ya tenía sus detractores desde hace tiempo y que debía ser renovado tras sus 15 años de antiguedad, es utilizado tanto en OpenSSL (a partir de la versión) 1.0.1i como en otros productos (la mayoría de navegadores todavía lo soportan, aunque ya han confirmado que será deshabilitado en próximas versiones), el ataque básicamente permite forzar que el cliente pase a utilizar este protocolo de SSL 3.0 en lugar de uno superior y a partir de ahí comenzar el ataque pudiendo acceder a los datos sin cifrar con un man-in-the-middle aunque se encuentre en una sesión cifrada con SSL, esto lo realizan a través de un ataque tipo MitM.
La solución actual pasa por deshabilitar el soporte a SSL 3.0 o utilizar cifrados CBC-mode en SSL 3.0, el problema es que actualmente esto generará muchos problemas de compatibilidad con programas que sí que utilicen SSL 3.0. La solución recomendada es habilitar TLS_FALLBACK_SCSV, un mecanismo que soluciona los problemas causados por reintentar conexiones fallidas y prevenir que los atacantes puedan forzar a los navegadores a utilizar SSL 3.0 y TLS 1.2, 1.1 y 1.0
Como ya digo, por ahora no hay demasiada información recopilada y se está investigando la incidencia así que os voy a dejar unos enlaces de referencia y si es necesario iré actualizando el artículo conforme la información vaya llegando.
Información sobre POODLE en el sitio web de OpenSSL:
https://www.openssl.org/~bodo/ssl-poodle.pdf
Google Online Security
http://googleonlinesecurity.blogspot.com/2014/10/this-poodle-bites-exploiting-ssl-Google30.html
Vulnerabilidad CVE-2014-3566
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3566
Actualización 16:00
Red Hat publica la solución a la vulnerabilidad:
Opción 1: Deshabilitar SSLv2 y SSLv3 (Habilitar todo exceptoSSLv2 y SSLv3)
SSLProtocol All -SSLv2 -SSLv3
Opción 2: Deshabilitar todo excepto TLSv1.x
En RHEL 7 y RHEL 6.6 y posteriores:
SSLProtocol -All +TLSv1 +TLSv1.1 +TLSv1.2
En otras plataformas:
SSLProtocol -All +TLSv1
Reiniciar HTTPD tras aplicar los cambios:
# service httpd restart