Hace dos meses apareció POODLE la vulnerabilidad que parecía
destinada a enterrar definitivamente al protocolo SSL. Ahora sabemos que el mismo problema afecta también a diversas implementaciones TLS.
POODLE
contra TLS
· Como
un negro augurio, en aquel momento nos preguntábamos por la seguridad de TLS
("¿Y tú TLS, como andas de clavos?"). No se ha tardado mucho, tampoco
ha hecho falta descubrir una nueva vulnerabilidad. Unos investigadores de
Qualys han descubierto que Poodle también puede funcionar en algunas
implementaciones de TLS, incluyendo la última (la 1.2).
·
El
problema radica en que los bytes den relleno empleados en TLS, no dejan de ser
un subconjunto del relleno empleado en SSLv3, por lo que técnicamente se podría
emplear la misma función de decodificación en SSLv3 con TLS y seguiría
funcionando correctamente. De esta forma no se comprobarían los bytes de
relleno, pero no causaría ningún problema en el funcionamiento de TLS. Sin
embargo, si se usa una función de decodificación SSLv3 con TLS el mismo ataque
Poodle funciona incluso contra conexiones TLS. A esta vulnerabilidad se le ha
asignado el CVE-2014-8730
(http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8730)
·
Y
esto es lo que se ha detectado, algunas implementaciones de TLS hacen uso de
funciones decodificadoras SSLv3, por lo que Poodle sigue funcionando en estos
sistemas. Ahora la diferencia está en que en vez de afectar a todas las
implementaciones de SSLv3, solo afecta a un conjunto restringido de
fabricantes. Qualys estima que un 10% de los servidores pueden estar afectados
por un ataque Poodle contra TLS.
· Por
ahora, se ha confirmado que el problema se reproduce en los balanceadores de
carga F5 (BIG-IP) y en dispositivos ADC de A10 Networks. El mayor problema
reside que estos productos son empleados por un gran número de compañías y
puede llegar a afectar a algunos de los sitios web más populares.
Recomendaciones
Ambos fabricantes ya
han publicado las actualizaciones necesarias para evitar este problema:
- Actualizaciones
de F5 https://support.f5.com/kb/en-us/solutions/public/15000/800/sol15882.html
- Actualizaciones
de A10 networks https://www.a10networks.com/support-axseries/downloads/downloads.php
Más
información:
·
The POODLE bites again (08 Dec 2014) https://www.imperialviolet.org/2014/12/08/poodleagain.html
·
#CVE-2014-8730published onDecember 8th,2014 https://www.a10networks.com/support/advisories/A10-RapidResponse_CVE-2014-8730.pdf
·
Patches for the CVE-2014-3566 Poodle/SSL v3.0
vulnerability http://www.a10networks.com/support-axseries/downloads/downloads.php#CVE-2014-3566
·
sol15882: TLS1.x padding vulnerability CVE-2014-8730 https://support.f5.com/kb/en-us/solutions/public/15000/800/sol15882.html
Fuente:
Hispasec