Más bugs en OpenSSL que Apple tendrá que parchear

A principios de Junio vimos que las actualizaciones de OpenSSL afectaban al software que Apple embebe en algunos dispositivos y al sistema operativo OSX, pero la compañía decidió no sacar ninguna actualización de seguridad crítica y aquellos bugs continúan aún en la versión de OpenSSL que viene con OS X Mavericks 10.9.4, es decir la versión de OpenSSL 0.9.8y por lo que todos son vulnerables a esos fallos aún. Si quieres comprobar la versión de OpenSSL que tienes en tu OS X, basta con que ejecutes este comando.

Figura 1: Versión de OpenSSL en OS X Mavericks 10.9.4

Ahora OpenSSL, en Agosto, ha sacado un nuevo Aviso de Seguridad con 9 bugs más que obligan a actualizar el software, por lo que el software de OpenSSL que viene paquetizado en OS X tiene nuevos fallos que solventar cuanto antes. Para ello, se han sacado también nuevas versiones de las ramas que tienen con soporte: La versión OpenSSL 1.0.1i, OpenSSL 1.0.0n y OpenSSL 0.9.8zb.

Figura 2: Advisory de Agosto con 9 bugs y las nuevas versiones publicadas

Esperemos que en la nueva versión de OS X Mavericks 10.9.5 y en OS X Yosemite, el paquete OpenSSL venga ya actualizado a la última versión - o erradicado definitivamente del sistema - como es la intención de Apple desde hace tiempo. Mientras tanto, si tu entorno es crítico, te toca hacer el trabajo manualmente a ti.

Los nuevos bugs de OpenSSL sí afectan a productos Apple

Cuando se produjo el fallo de HeartBleed, los productos de Apple no se vieron demasiado afectados. En parte porque habían migrado hacia otras librerías criptográficas por motivos puramente técnicos para muchas partes de sus software, en parte porque la librería que están distribuyendo en algunas versiones era más antigua que la afectada. No obstante, no se salvaron en todos los productos, y en la gama de Airport Base Station tuvieron que actualizar el firmware para solucionar el archifamoso bug de Heartbleed.

Figura 1: Versión de OpenSSL en OS X Mavericks 10.9.3

Ahora, han salido nuevos bugs que afectan a versiones que van desde la 0.9.8 en adelante, por lo que el software de tu OS X queda afecatado por estos fallos. El parcheo lo puedes hacer manualmente o esperar a que una nueva revisión del software de OS X distribuya las nuevas versiones.

Figura 2: Versiones afectadas por uno de los nuevos bugs de OpenSSL

Por otro lado, por supuesto, el software de los productos de AirPort Base Station, que ya fue afectado, vuelve a quedar en la lista de productos vulnerables y deberá corregirse. Este tipo de cosas, en un software de seguridad tan popular es lo que ha molestado a la comunidad de Internet. No debería pasar.