Vulnerabilidad en OpenSSL (CVE-2025-7394)
Gravedad CVSS v4.0:
ALTA
Tipo:
CWE-200
Revelación de información
Fecha de publicación:
18/07/2025
Última modificación:
22/07/2025
Descripción
En la implementación de la capa de compatibilidad de OpenSSL, la función RAND_poll() no se comportaba como se esperaba, lo que podía generar valores predecibles de RAND_bytes() tras llamar a fork(). Esto puede generar números aleatorios débiles o predecibles en aplicaciones que usan RAND_bytes() y realizan operaciones fork(). Esto solo afecta a las aplicaciones que llaman explícitamente a RAND_bytes() después de fork() y no afecta a las operaciones internas de TLS. Aunque la documentación de RAND_bytes() en OpenSSL indica que no es seguro usarla con fork() sin llamar primero a RAND_poll(), también se realizó un cambio de código adicional en wolfSSL para que RAND_bytes() se comporte de forma similar a OpenSSL tras una llamada a fork() sin llamar a RAND_poll(). Ahora, el Hash-DRBG utilizado se resembraliza tras detectar la ejecución en un nuevo proceso. Si se utiliza RAND_bytes() y se llama a fork(), se recomienda actualizar a la última versión de wolfSSL. Gracias a Per Allansson de Appgate por el informe.
Impacto
Puntuación base 4.0
7.00
Gravedad 4.0
ALTA