Los fallos de seguridad son tristemente cada vez más comunes en los sistemas operativos. Si la semana pasada Apple tenía que parchear un fallo por el que no se validaba correctamente los certificados de seguridad en OS e iOS, esta semana le toca nada más y nada menos que a Linux. Pero si el de Apple era un fallo crítico, este es extremadamente crítico.
Afecta a más de 200 distribuciones de Linux, como Debian, Red Hat y Ubuntu, que utilizan la librería GnuTLS que permite ignorar completamente las protecciones de conexiones seguras (tanto SSL como TLS) en las aplicaciones que la utilizan (correo electrónico, navegadores, etc.). El fallo reside en el código que verifica la autenticidad de los certificados TLS conocidos como X509. El fallo lleva presente desde 2005, por lo que está muy enraizado en la comunidad Linux, y explotándolo se pueden descifrar/escuchar sin problemas el contenido de las comunicaciones "seguras" establecidas.
Como indican en Ars Technica, no afectará por igual a todas las aplicaciones. Por ejemplo, con la utilidad apt-get, que hace uso de GnuTLS, no llegaría a instalarse una aplicación modificada distinta puesto que se comprueba la firma criptográfica de la aplicación descargada antes de instalarla. Los expertos aseguran que esto pinta realmente mal.
Vía: Ars Technica.
