PoCs para explotar masivamente la vulnerabilidad Heartbleed (OpenSSL CVE-2014-0160)

Un fallo en la implementación de Heartbeat, una funcionalidad añadida a TLS/DTLS para refrescar una sesión segura sin necesidad de renegociar, permite leer partes de la memoria del proceso hasta 64kB. ¿Qué significa ésto? que cualquier persona en cualquier lugar del mundo y sin dejar casi huella puede obtener las sesiones de cualquier usuario autenticado en un servidor que corra OpenSSL 1.0.1 o posterior (hasta 1.0.1g), es decir, millones de servidores a los que accedemos mediante HTTPS son vulnerables.

Por eso la vulnerabilidad CVE-2014-0160 bautizada como Heartbleed (corazón sangrante) es ya considerada como uno de los mayores fallos de seguridad en Internet conocidos hasta la fecha.

Para solucionarlo las opciones son deshabilitar el soporte de Heartbeat (-DOPENSSL_NO_HEARTBEATS), actualizar OpenSSL y regenerar claves. ¿Cuándo? Pues debería ser inmediatamente porque ya están apareciendo algunos PoC que facilitan su explotación de forma masiva...



Si no te lo crees, echa un vistazo a esta entrada de Casey Johnellis con una muestra imponente de ello:

7 comentarios :

  1. esto me acaba de sacar de mi letargo inducido

    ResponderEliminar
  2. PoC for OpenSSL CLIENT attacks out:
    https://github.com/Lekensteyn/pacemaker

    ResponderEliminar
  3. no extraña que sea gravísimo.. :-S

    ResponderEliminar
  4. Esto ha sido un verdadero Pain in the arse en mi trabajo con todos los host IPS que tenemos monitoreando....

    ResponderEliminar
  5. Por cierto, son 64 kB no, Kb.

    Saludos

    ResponderEliminar