21 jun. 2022

Vulnerabilidad POODLE afecta TLS 1.0, TLS 1.1

Poodle v2

Recientemente se ha descubierto que la vulnerabilidad POODLE afecta más que un poco a SSL 3.0. La comprobación incorrecta de TLS "padding" significa que la vulnerabilidad también se puede utilizar para explotar TLS 1.0 y TLS 1.1. 
Esta vulnerabilidad se encontró en sitios que utilizan equilibradores de carga de dos fabricantes, F5 y A10. Estos fabricantes ya han lanzado parches para sus productos que se pueden encontrar en los enlaces que se proporcionan a continuación. Esta vulnerabilidad NO afecta a su certificado SSL.
No es necesario volver a emitir o revocar los certificados, ya que su clave privada no se ha visto comprometida

¿Qué debo hacer?

1. Compruebe si su servidor es vulnerable mediante la Prueba de Servidor SSL de Qualys SSL Labs.
2. Aplique el parche proporcionado por su proveedor. Los F5 están aquí; Los A10 están aquí. Agregaremos otros proveedores afectados a medida que se anuncien.

Nota: Esta vulnerabilidad no afecta propiamente a los certificados SSL. No es necesario volver a emitir, renovar o reinstalar ningún certificado en este momento.

Versión afectada

F5 

Producto	Versiones que se sabe que son vulnerables	Versiones que se sabe que no son vulnerables	Componente u operación vulnerable
BIG-IP LTM	11.0.0 - 11.5.1 10.0.0 - 10.2.4	11.6.0 11.5.1 HF6 11.5.0 HF6 11.4.1 HF6 11.4.0 HF9 11.2.1 HF13 10.2.4 HF10	Perfiles SSL
BIG-IP AAM	11.4.0 - 11.5.1	11.6.0 11.5.1 HF6 11.5.0 HF6 11.4.1 HF6 11.4.0 HF9	Perfiles SSL
BIG-IP AFM	11.3.0 - 11.5.1	11.6.0 11.5.1 HF6 11.5.0 HF6 11.4.1 HF6 11.4.0 HF9	Perfiles SSL
BIG-IP Analytics	11.0.0 - 11.5.1	11.6.0 11.5.1 HF6 11.5.0 HF6 11.4.1 HF6 11.4.0 HF9 11.2.1 HF13	Perfiles SSL
BIG-IP APM	11.0.0 - 11.5.1 10.1.0 - 10.2.4	11.6.0 11.5.1 HF6 11.5.0 HF6 11.4.1 HF6 11.4.0 HF9 11.2.1 HF13 10.2.4 HF10	Perfiles SSL
BIG-IP ASM	11.0.0 - 11.5.1 10.0.0 - 10.2.4	11.6.0 11.5.1 HF6 11.5.0 HF6 11.4.1 HF6 11.4.0 HF9 11.2.1 HF13 10.2.4 HF10	Perfiles SSL
BIG-IP Edge Gateway	11.0.0 - 11.3.0 10.1.0 - 10.2.4	11.2.1 HF13 10.2.4 HF10	Perfiles SSL
BIG-IP GTM*	Ninguno	11.0.0 - 11.6.0 10.0.0 - 10.2.4	Ninguno
BIG-IP Link Controller*	Ninguno	11.0.0 - 11.6.0 10.0.0 - 10.2.4	Ninguno
BIG-IP PEM	11.3.0 - 11.6.0	11.6.0 HF3 11.5.1 HF6 11.5.0 HF6 11.4.1 HF6 11.4.0 HF9	Perfiles SSL
BIG-IP PSM	11.0.0 - 11.4.1 10.0.0 - 10.2.4	11.4.1 HF6 11.4.0 HF9 11.2.1 HF13 10.2.4 HF10	Perfiles SSL
BIG-IP WebAccelerator	11.0.0 - 11.3.0 10.0.0 - 10.2.4	11.2.1 HF13 10.2.4 HF10	Perfiles SSL
BIG-IP WOM	11.0.0 - 11.3.0 10.0.0 - 10.2.4	11.4.1 HF6 11.4.0 HF9 11.2.1 HF13 10.2.4 HF10	Perfiles SSL
ARX	Ninguno	6.0.0 - 6.4.0	Ninguno
Enterprise Manager*	Ninguno	3.0.0 - 3.1.1 2.1.0 - 2.3.0	Ninguno
FirePass	Ninguno	7.0.0 6.0.0 - 6.1.0	Ninguno
BIG-IQ Cloud	4.0.0 - 4.4.0	Ninguno	REST API
BIG-IQ Device	4.2.0 - 4.4.0	Ninguno	REST API
BIG-IQ Security	4.0.0 - 4.4.0	Ninguno	REST API
LineRate	Ninguno	2.2.0 - 2.5.0 1.6.0 - 1.6.4	Ninguno

*Los productos mencionados contienen código vulnerable, pero no exponen perfiles SSL y, por lo tanto, no son vulnerables.

Fuente: https://support.f5.com/kb/en-us/solutions/public/15000/800/sol15882.html

A10

A10 aún no ha lanzado un parche de hardware afectado. Este sitio se actualizará tan pronto como esa información esté disponible.