Aviso de seguridad: Vulnerabilidad criptográfica crítica en Java

22nd abril, 2022:CyberHoot ha investigado una vulnerabilidad del producto Java identificada como CVE-2022-21449 que permite la explotación remota de cuentas sin autenticación. En otras palabras, esta vulnerabilidad puede ser explotada desde fuera de su red por alguien que no se haya autenticado en su entorno. Esto se hace mediante una vulnerabilidad relacionada con... firma digital de aquellos autenticando. 

Vulnerabilidad del producto Java

Al enviar una firma digital basada en criptografía de curva elíptica , se supone que debes demostrar al destinatario que tienes acceso a la clave privada que corresponde a la clave pública que utilizarán para verificar la firma en tu sistema.

En pocas palabras, se toma un hash de longitud fija (por ejemplo, SHA-256) de los datos que se desean autenticar, como un correo electrónico o una actualización de software, se firma ese hash con la clave privada y se envía junto con la firma. El destinatario utiliza la clave pública correspondiente para verificar el hash y, a continuación, utiliza el hash para verificar el mensaje (que, por lo tanto, puede tener una longitud arbitraria).

Debido a que su clave privada no puede calcularse a la inversa de la clave pública correspondiente, su clave pública puede, literalmente, hacerse pública y certificarse que coincide con su clave privada de numerosas maneras.

En otras palabras, no puedes presentar una firma digital que pase a menos que tengas acceso a la clave privada relevante, por lo que si el destinatario asume que has cuidado tu clave privada con el cuidado que merece, este tipo de verificación de firma proporciona un nivel vital de verificación en los intercambios en línea de código y datos actuales.

Pero, como descubrió el investigador de seguridad Madden e informó a Oracle el pasado diciembre , los piratas informáticos pueden usar una "firma psíquica" totalmente vacía, si se la presentan al código de verificación de la curva elíptica de Java, que se marcaría como válida cuando se "verificara" con cualquier clave pública.

En otras palabras, un atacante necesitaría hackear su red y robar sus claves privadas para hacerse pasar por usted o simplemente presentar una firma en blanco para pasar la prueba cada vez.

¿Qué debes hacer?

¡Actualiza tu versión de Java lo antes posible!

Las versiones más recientes de Java son Java 17 (Soporte a Largo Plazo) y Java 18 , que se actualizan a las versiones 17.0.3 y 18.0.1 respectivamente.

Las versiones más antiguas, pero aún compatibles, que también han sido parcheadas son Java 7 , Java 8 y Java 11 , que se actualizan a las versiones 7u341 , 8u331 y 11.0.15 respectivamente.

Recuerda que es posible tener instaladas varias versiones de Java al mismo tiempo, ya sea el Kit de Desarrollo de Java (JDK) o el Entorno de Ejecución de Java (JRE).

Puede comprobar si hay versiones de Java disponibles en su computadora buscando archivos de programa llamados java (o java.exe en Windows).

Puedes comprobar qué versión representa cada ejecutable de Java ejecutando el comando java -version.

Tienes un proceso de gestión de alertas de vulnerabilidad, ¿verdad?

Si está suscrito a los servicios de CyberHoot, tendrá acceso a nuestra biblioteca de Políticas y Procesos, que contiene el documento del proceso de gestión de alertas de vulnerabilidad. Este documento describe cómo responder a situaciones como esta y en qué plazo. Si su empresa aún no ha adoptado un proceso similar a VAMP, ahora es un excelente momento para empezar.

Fuentes

¡Asegure su negocio con CyberHoot hoy!

Inscríbase ahora