Ene
03

03/01/2010 Actualización de seguridad para Sendmail

Se ha publicado Sendmail 8.14.4 que corrige (entre otros errores) una vulnerabilidad relacionada con caracteres NULL en certificados en formato X.509.

El problema corregido se debe a un error al procesar bytes NULL (un carácter nulo) en certificados X.509 en los campos {cn_subject} o {cn_issuer}. Un atacante podría aprovechar este fallo para falsificar autenticaciones de cliente o servidor y provocar por ejemplo que las aplicaciones afectadas acepten certificados falsificados. Para ello, debería disponer de acceso a la conexión y actuar como hombre en el medio (man-in-the-middle).

Esta vulnerabilidad (CVE-2009-4565), parece estar estrechamente relacionada con la catalogada en Mitre.org como CVE-2009-2408 y que ha afectado a multitud de fabricantes desde julio de 2009. Prácticamente, todos los programas que manejan certificados X.509, han debido actualizar su software durante estos últimos meses para solucionar este grave fallo de seguridad. La vulnerabilidad también permitía la falsificación de certificados (por ejemplo con la finalidad de dar por válidas páginas webs falsas) si un atacante conseguía manipular el tráfico de la víctima.

Se recomienda actualizar a Sendmail versión 8.14.4, que también corrige otra serie de fallos y se encuentra disponible desde:
ftp://ftp.sendmail.org/pub/sendmail/sendmail.8.14.4.tar.gz

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/4088/comentar

Más Información:

Sendmail - 8.14.4
http://www.sendmail.org/releases/8.14.4

Laboratorio Hispasec