Cuál es el problema
Las implementaciones de TLS y DTLS en OpenSSL no gestionan adecuadamente los paquetes de Heartbeat Extension, lo que provoca una sobrelectura de búfer. Los atacantes remotos pueden explotar este fallo para extraer datos confidenciales, como claves privadas, directamente de la memoria del proceso.
A quién afecta
Esta vulnerabilidad afecta a las versiones 1.0.1 de OpenSSL anteriores a la 1.0.1g.
Qué hacer
Actualice OpenSSL a la versión 1.0.1g o aplique las actualizaciones según las instrucciones del proveedor.
Descripción original
The (1) TLS and (2) DTLS implementations in OpenSSL 1.0.1 before 1.0.1g do not properly handle Heartbeat Extension packets, which allows remote attackers to obtain sensitive information from process memory via crafted packets that trigger a buffer over-read, as demonstrated by reading private keys, related to d1_both.c and t1_lib.c, aka the Heartbleed bug.
Explotación conocida (CISA KEV)
- Añadida a KEV
- 2022-05-04
- Plazo de corrección (Gobierno federal de EE. UU.)
- 2022-05-25
- Uso en ransomware
- Unknown
- Acción requerida
- Apply updates per vendor instructions.
Software afectado
- OpenSSL ≥ 1.0.1 < 1.0.1g Corregido en: 1.0.1g coincidencia exacta
Detalles
- Publicación
- 2014-04-07
- Última modificación
- 2026-06-17
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N- CWE
- CWE-125
- EPSS (probabilidad de explotación en 30 días)
- 100.00% (percentil 100)
Referencias
- cve.org/CVE-2014-0160
- nvd.nist.gov/vuln/detail/CVE-2014-0160
- advisories.mageia.org/MGASA-2014-0165.html
- blog.fox-it.com/2014/04/08/openssl-heartbleed-bug-live-blog/
- cogentdatahub.com/ReleaseNotes.html
- download.schneider-electric.com/files?p_Doc_Ref=SEVD%202014-119-01
- git.openssl.org/gitweb/?p=openssl.git%3Ba=commit%3Bh=96db9023b881d7cd9f379b0c154650d6c108e...
- heartbleed.com/
- lists.fedoraproject.org/pipermail/package-announce/2014-April/131221.html
- lists.fedoraproject.org/pipermail/package-announce/2014-April/131291.html
- lists.fedoraproject.org/pipermail/package-announce/2014-August/136473.html
- lists.opensuse.org/opensuse-security-announce/2014-04/msg00004.html
- lists.opensuse.org/opensuse-security-announce/2014-04/msg00005.html
- lists.opensuse.org/opensuse-updates/2014-04/msg00061.html
Controla estas versiones en tus propios servidores
InfraGuard recopila las versiones de software instaladas en cada servidor y señala las que tienen vulnerabilidades conocidas. Autoalojado: nada sale de tu red.
Este producto utiliza datos de la API del NVD, pero no está avalado ni certificado por el NVD. CVE® es una marca registrada de The MITRE Corporation; los registros CVE se utilizan conforme a los Términos de uso del CVE Program.