OpenSSL 3.6.1 Lanzado Con Correcciones de Seguridad de Alta Severidad

OpenSSL 3.6.1 ha sido lanzado con correcciones para múltiples vulnerabilidades de alta gravedad que afectan TLS, PKCS12, CMS y el manejo de certificados.

OpenSSL ha lanzado la versión 3.6.1, una actualización de seguridad que aborda múltiples vulnerabilidades, incluidas varias calificadas como de alta gravedad, e incluye correcciones acumuladas desde la anterior actualización 3.6.x.

Entre los más notables se encuentra la corrección de la validación incorrecta de los parámetros PBMAC1 durante la verificación del MAC de PKCS#12, registrada como CVE-2025-11187.

También se abordaron varias vulnerabilidades relacionadas con la memoria, incluyendo un desbordamiento de búfer en la pila durante el análisis de CMS AuthEnvelopedData, múltiples problemas de escritura fuera de los límites y en el heap en las rutas de código de BIO y PKCS#12, y desreferencias de punteros NULL en las funciones de búsqueda de cifrados y descifrado.

OpenSSL 3.6.1 también resuelve problemas que afectan las implementaciones modernas de TLS. Se ha corregido un fallo que provocaba una asignación excesiva de memoria al manejar mensajes CompressedCertificate de TLS 1.3, así como un problema relacionado con bytes finales no autenticados o no encriptados en llamadas a funciones OCB de bajo nivel.

Correcciones adicionales abordan la falta de validación del tipo ASN.1 en la verificación de la respuesta de marca de tiempo y el análisis de PKCS#12, así como un problema de confusión de tipos ASN.1 en el procesamiento del digest PKCS7.

Más allá de las vulnerabilidades de seguridad, la actualización corrige dos regresiones introducidas en OpenSSL 3.6.0. Una restablece el comportamiento anterior de la bandera X509_V_FLAG_CRL_CHECK_ALL, mientras que la otra soluciona fallos en el protocolo de enlace (handshake) causados por el manejo incorrecto de respuestas OCSP adjuntas cuando los servidores OpenSSL 3.6.0 interactúan con ciertas implementaciones de clientes.

El proyecto recomienda que los usuarios y distribuciones que dependen de OpenSSL 3.6.x se actualicen con prontitud, especialmente en casos donde se utilizan servicios TLS, validación de certificados o manejo de PKCS#12.

Para más información, consulta el registro de cambios.