Desangrando el corazn de

OpenSSL
Fallo de Seguridad
(CVE-2014-0160)
Detalles
7 de abril de 2014 publico la vulnerabilidad
OpenSSL 1.0.1
Obtener 64 Kb de Memoria
Acceso a credenciales, cookies de sesin,
claves privadas de clientes y servidores
conectados.
Descubierta por Neel Mehta del equipo de
Google Security
CVE-2014-0160 del 3 de Diciembre de 2013
Detalles
Implementacin ms popular de SSL (HTTPs,
FTPs, SSTP)
Shodan indica que hay ms de 5 millones de
servidores vulnerables
Bug en la implementacin que esta en la capa
de cifrado del latido del corazn o
HeartBeat, para mantener la sesin SSL activa,
despus del saludo de manos o handshake

Mi servidor es vulnerable?
http://possible.lv/tools/hb/
Mi servidor es vulnerable?
https://filippo.io/Heartbleed/
SLV3 para mantenimiento del
HearBeat
El Bug
El bug est en que el cliente puede enviar un
mensaje TLS1_HB_REQUEST con un payload en
el que diga que su tamao es 65.535 (64 kB).
Cuando el servidor vaya a construir la respuesta
de TLS1_HB_RESPONSE va a copiar el mensaje
TLS1_HB_REQUEST de memoria para a partir de
l configurar la respuesta - a modo de Echo como
hacen muchos protocolos -, comenzar a leer el
paquete TLS1_HB_REQUEST en la posicin de
memoria en la que se haya ubicado hasta el final
de la longitud del paquete, que la lee del mismo
payload que va en l.
El Bug
Como el atacante ha dicho que su tamao de
respuesta es de 65.535 leer 64 kB de lo que
haya en la memoria y lo pondr todo en
TLS1_HB_RESPONSE... todo lo que haya en 64
kB de memoria de un servidor, con lo que podr
aparecer de todo.
64 kB no es mucho si slo vinieran los mismos 64
kB, pero es que la memoria cambia
constantemente, y cada vez que se pide
un TLS1_HB_RESPONSE va a venir una seccin
distinta.
Como Corregir?
Actualizar la librera OpenSSL a una versin
no vulnerable, a partir de la 1.0.1g
Deshabilitar el soporte de Heartbeat en
OpenSSL, recompilndolo con la opcin -
DOPENSSL_NO_HEARTBEATS
Revisin del Error
Referencias
Jos A. Guasch, Desangrando el Corazn de
OpenSSL (CVE-2014-0160), 08 abril 2014, Blog:
http://www.securitybydefault.com/2014/04/desa
ngrando-el-corazon-de-openssl-cve.html
Chema Alonso, Heartbleed y el caos de seguridad
en Internet, 10 abril 2014, Blog:
http://www.elladodelmal.com/2014/04/heartble
ed-y-el-caos-de-seguridad-en.html
The Heartbleed Bug, Sitio Oficial del Bug:
http://heartbleed.com/