En Septiembre del 2011, Juliano Rizzo y Thai Dong sorprendían de nuevo a mundo desde la Ekoparty - conferencia que se está acostumbrando a este tipo de situaciones - con la publicación de B.E.A.S.T. (Browser Explotation Against SSL & TLS) recogido en su famoso paper "Here como the Ninjas". En aquella presentación, demostraron cómo era posible descifrar la comunicación SSL & TLS de una comunicación si se controla un padding en el comienzo del algoritmo de cifrado. Rápidamente aparecieron las aplicaciones que implementaban este tipo de técnicas, y todos los fabricantes de tecnología SSL & TLS tuvieron que parchar sus sistemas.
 |
| Figura 1: Thai y Juliano en la Ekoparty 2010 |
Sin embargo, Apple no ha actualizado XCode, el entorno IDE de desarrollo contra este bug hasta esta semana, en la que por medio del Apple Security Advisory APPLE-SA-2012-07-25-2 Xcode 4.4 comunicaba a la comunidad de investigadores de seguridad que publicaba un parche en la librería neon para solucionar el bug con CVE-2011-3389, es decir, el de B.E.A.S.T. Esto evitaría que tus aplicaciones con soporte SSL o TLS fueran vulnerables a este bug.
No solo ha solucionado este bug, sino que en el mismo advisory se encuentra un parche para el bug CVE-2011-3389 que puede permite a las Helper Tools construidas con XCode acceder a cualquier dato almacenado en el keychain por cualquier aplicación, lo que llevaría a que una aplicación maliciosa de la App Store, accediera al keychain de otras, algo que es más que probable que Apple haya descubierto en activo en aplicaciones de la App Store.
En definitiva, Apple actualiza XCode a la versión 4.4, por lo que si estás realizando software o quieres hacerlo, te recomendamos que instales la nueva versión cuanto antes, ya que depende del IDE que tus aplicaciones quede seguras frente a estos bugs.
No hay comentarios:
Publicar un comentario