Vulnerabilidad en los datos AAD como clave MAC en OpenSSL (CVE-2022-1434)

La implementación de OpenSSL versión 3.0 del cifrado RC4-MD5 usa incorrectamente los datos AAD como clave MAC. Esto hace que la clave MAC sea trivialmente predecible. Un atacante podría aprovechar este problema llevando a cabo un ataque de intermediario para modificar los datos que son enviados desde un endpoint a un destinatario de OpenSSL versión 3.0 de forma que los datos modificados sigan pasando la comprobación de integridad MAC. Tenga en cuenta que los datos enviados desde un endpoint OpenSSL versión 3.0 a un endpoint no OpenSSL versión 3.0 siempre serán rechazados por el destinatario y la conexión fallará en ese punto. Muchos protocolos de aplicación requieren que los datos sean enviados primero desde el cliente al servidor. Por lo tanto, en tal caso, sólo un servidor OpenSSL versión 3.0 estaría afectado cuando hablara con un cliente no OpenSSL versión 3.0. Si ambos endpoints son OpenSSL versión 3.0, el atacante podría modificar los datos que son enviados en ambas direcciones. En este caso, tanto los clientes como los servidores podrían verse afectados, independientemente del protocolo de aplicación. Tenga en cuenta que, en ausencia de un atacante, este fallo significa que un endpoint de OpenSSL 3.0 que sea comunicado con un endpoint que no sea de OpenSSL 3.0 no podrá completar el apretón de manos cuando sea usado este cifrado. La confidencialidad de los datos no está afectada por este problema, es decir, un atacante no puede descifrar los datos que han sido encriptados usando este cifrado, sólo puede modificarlos. Para que este ataque funcione, ambos endpoints deben negociar legítimamente el cifrado RC4-MD5. Este ciphersuite no está compilado por defecto en OpenSSL versión 3.0, y no está disponible en el proveedor por defecto o en la lista de ciphersuite por defecto. Esta ciphersuite nunca será usado si ha sido negociado TLSv1.3. Para que un endpoint de OpenSSL versión 3.0 use esta ciphersuite debe haber ocurrido lo siguiente 1) OpenSSL debe haber sido compilado con la opción de tiempo de compilación (no predeterminada) enable-weak-ssl-ciphers 2) OpenSSL debe tener el proveedor heredado cargado explícitamente (ya sea a través del código de la aplicación o por medio de la configuración) 3) La ciphersuite debe haber sido añadida explícitamente a la lista de ciphersuite 4) El nivel de seguridad de libssl debe haber sido establecido en 0 (el valor predeterminado es 1) 5) Una versión de SSL/TLS inferior a TLSv1. 3 debe haber sido negociada 6) Ambos endpoints deben negociar el ciphersuite RC4-MD5 con preferencia a cualquier otro que ambos endpoints tengan en común Corregido en OpenSSL versión 3.0.3 (Afectado 3.0.0,3.0.1,3.0.2)