Hoy, el equipo de OpenSSL ha lanzado la versión 3.0.7 de OpenSSL. Esta versión incluye correcciones para dos vulnerabilidades destacadas de gravedad «Alta» (CVE-2022-3786 y CVE-2022-3602) que afectan a todas las versiones de OpenSSL, desde la 3.0.0 hasta la 3.0.6. Se recomienda a los equipos de seguridad que identifiquen las versiones pertinentes de OpenSSL y actualicen a la versión 3.0.7 lo antes posible.
¿Qué es OpenSSL?
OpenSSL es un conjunto de herramientas que permite establecer comunicaciones seguras en servidores web y aplicaciones. Por ello, constituye un componente esencial del protocolo Transport Layer Security (TLS), que garantiza que los datos enviados a través de Internet estén protegidos frente a miradas indiscretas.
¿Por qué debería preocuparle esto?
En un principio, esta vulnerabilidad se anunció como «crítica» en OpenSSL, pero tras su divulgación, se ha rebajado a «alta». Según la información facilitada por el equipo de OpenSSL, es menos probable que se den las circunstancias necesarias para que se aproveche la vulnerabilidad de lo que se pensaba inicialmente. Tanto la versión CVE-2022-3786 como la CVE-2022-3602 deben seguir actualizándose, aunque se hayan degradado. La última vulnerabilidad grave en OpenSSL fue el famoso fallo «Heartbleed» de , hace ocho años.
El reto consiste en encontrarlo
La clave para reducir el riesgo de su organización consiste en detectar y corregir, o bien mitigar de cualquier otra forma, cualquier implementación afectada lo antes posible. Sin embargo, el reto a la hora de aplicar parches a bibliotecas de código abierto de terceros de uso generalizado, como OpenSSL, consiste en localizar todos los lugares en los que se encuentra dentro de la empresa.
OpenSSL es un código fuente que los proveedores de software deben compilar y que puede distribuirse de diversas formas, desde su integración estática en su programa hasta su uso como recursos vinculados dinámicamente. Este tipo de dependencias resultan difíciles (o, en muchos casos, imposibles) de detectar para los escáneres de vulnerabilidades tradicionales. Por eso, el descubrimiento requiere un enfoque en varios niveles.
¿Cómo puede ayudar Tanium SBOM?
Tanium ha lanzado recientemente una nueva funcionalidad denominada « » (Lista de componentes de software de Tanium, SBOM) para ayudar a los clientes a identificar las bibliotecas de terceros asociadas a los paquetes de software. Tanium SBOM es un complemento de Tanium Asset.
Tanium SBOM utiliza un único agente de Tanium para ofrecer visibilidad en tiempo real de entornos de software complejos, lo que permite a su organización tomar decisiones mejor fundamentadas en lo que respecta a la gestión de riesgos en los terminales.
Una vez configurado Tanium SBOM, conocerá los detalles de todas las aplicaciones de software de su entorno y sabrá dónde se encuentran los paquetes vulnerables. Haga una pregunta sencilla a Tanium SBOM y obtendrá una respuesta de todo su entorno, a gran escala y en tan solo unos segundos.
Vea este breve vídeo de demostración para descubrir cómo Tanium SBOM puede hacer frente a la vulnerabilidad de OpenSSL.
https://youtu.be/8McUTAFdyh8
Cómo utilizar Tanium SBOM para gestionar OpenSSL
Actualmente, Tanium SBOM admite el análisis de los siguientes ecosistemas: Java, JavaScript, Python, PHP, Ruby, binarios de GoLang y bibliotecas compartidas de OpenSSL. Hay algunos pasos adicionales que debe seguir para instalar y configurar el contenido de la SBOM. Puede encontrar los detalles paso a paso sobre cómo añadir los atributos SBOM para OpenSSL en en nuestro artículo de la comunidad de Tanium:.
Con Tanium, podrá:
- Comprenda cada componente de software en tiempo de ejecución, identificando los paquetes de software y desglosándolos para examinar todos los componentes que los conforman sin necesidad de recurrir al proveedor del software. Puede analizar archivos de clientes pesados y examinar el funcionamiento de los entornos de clientes ligeros.
- Solucione las vulnerabilidades o los errores de configuración detectados en dichos componentes.
- Tome medidas para mitigar el riesgo , ya sea dejando de utilizar el dispositivo afectado, cerrando los procesos pertinentes o incluso eliminando por completo las aplicaciones de los terminales afectados.
La plataforma Tanium de es capaz de detectar y corregir vulnerabilidades como las detectadas hoy en OpenSSL v3 , y puede preparar mejor a su organización para la próxima vulnerabilidad de la cadena de suministro que surja.
Puede encontrar más información, incluido cómo identificar OpenSSL en su entorno en , en nuestro artículo de la comunidad de Tanium:.
Seguiremos de cerca la evolución de esta vulnerabilidad. No deje de visitar esta página y nuestro artículo de la Comunidad de Tanium a medida que se publique más información.
