Se ha alertado a los usuarios de actualizar OpenSSL para evitar que espías escuchen lo que antes eran conexiones cifradas y que ahora se han visto debilitadas por la vulnerabilidad LogJam, que se piensa, es la herramienta elegida por la NSA para romper cifrados.

Los encargados del mantenimiento de OpenSSL parcharon siete vulnerabilidades, incluyendo la de LogJam (CVE-2015-4000), que permite a los atacantes engañar a los navegadores para que consideren como segura una conexión cifrada de forma insegura.

"Una vulnerabilidad en el protocolo TLS permite que un ataque de tipo man-in-the-middle revierta a conexiones TLS vulnerables utilizando el breve intercambio de llaves Diffie-Hellman para criptografía de grado de exportación de 512 bits", escribieron los encargados del mantenimiento de OpenSSL en un aviso.

"OpenSSL añadió protección para clientes TLS rechazando conexiones con parámetros DH más cortos de 768 bits. Este límite será incrementado a 1024 bits en un lanzamiento futuro". Los usuarios deben actualizar OpenSSL 1.0.2 a la versión 1.0.2.b y la 1.0.1 a la versión 1.0.1n.

LogJam fue encontrado como parte de la investigación sobre la vulnerabilidad FREAK, la cual permite que las conexiones TLS seguras disminuyan su seguridad utilizando cifrados con una calidad de exportación baja. LogJam oculta este proceso.        

Alrededor de 20 mil sitios web están expuestos a la falla, en esta, los agresores utilizan la misma red que las víctimas para dirigir ataques man-in-the-middle hacia 575 servicios en la nube, de acuerdo con las estadísticas de Skyhigh Networks.

La investigación revela que una compañía promedio utiliza 71 servicios en la nube vulnerables.