Ayer -Martes 24 de Abril de 2012-, se descubrió que la anterior actualización para la vulnerabilidad descrita en el CVE-2012-2110 del Jueves 19 anterior, tan oportunamente enlazada por squirrel aquí, en el 'nuevo' Kriptópolis, fue suficiente para las versiones de OpenSSL 1.0.0 y 1.0.1 más recientes; pero no así para la versión 0.9.8 algo más antigua aunque funcional en muchos sistemas por lo que es necesario actualizarlos de nuevo a la mayor brevedad si usan dicha versión 0.9.8 en su implementación de OpenSSL.

Hoy he actualizado una distribución Debian con este problema y he comprobado que la re-actualización de esta vulnerabilidad para la v0.9.8 ha sido realizada ayer mismo:

openssl (0.9.8o-4squeeze12) squeeze-security; urgency=high

* Non-maintainer upload by the Security Team.
* Fix CVE-2012-2131: incomplete fix of CVE-2012-2110

-- Raphael Geissert Tue, 24 Apr 2012 16:41:03 -0500

Es fácil comprobar que versión OpenSSL está disponible en el sistema poniendo en la consola o intérprete de comandos 'openssl version'.

Saludos cordiales,

Pedro Fernández
--

Openssl Cryptography Software,
freely usable by any application.

En la entrada de la lista 'full-disclosure' enlazada a continuación: OpenSSL 'integer underflow' CVE ID: CVE-2012-2333, se puede leer desde el pasado día 18, Viernes; lo siguiente:

.../...
Package        : openssl
Vulnerability  : integer underflow
Problem type   : remote
Debian-specific: no
CVE ID         : CVE-2012-2333
 
It was discovered that openssl did not correctly handle explicit
Initialization Vectors for CBC encryption modes, as used in TLS 1.1,
1.2, and DTLS. An incorrect calculation would lead to an integer
underflow and incorrect memory access, causing denial of service
(application crash.)
 
For the stable distribution (squeeze), this problem has been fixed in
version 0.9.8o-4squeeze13.
 
For the testing distribution (wheezy), and the unstable distribution
(sid), this problem has been fixed in version 1.0.1c-1.
 
We recommend that you upgrade your openssl packages.
.../...

Hoy he actualizado una distribución Debian con este problema y he comprobado que la actualización de esta vulnerabilidad ha sido realizada sin demora:

openssl (0.9.8o-4squeeze13) squeeze-security; urgency=high

* Non-maintainer upload by the Security Team.
* Fix CVE-2012-2333: DoS via explicit IV in DTLS

-- Raphael Geissert Wed, 16 May 2012 16:39:28 -0500

Saludos cordiales,

Pedro Fernández
--

Openssl Cryptography Software,
freely usable by any application.