Advertencias de seguridad

Resumen

El martes 16 de febrero se publicó un informe de investigación acerca de una nueva vulnerabilidad de la biblioteca glibc, biblioteca estándar de C. La vulnerabilidad residía en el código utilizado para convertir los nombres de host en direcciones IP. Los procesos que lo utilizan son muy comunes entre los proveedores de servicios de red, como las CDN.

Fastly implementó inmediatamente una actualización de seguridad en los sistemas afectados. No hace falta ninguna acción por parte del cliente. El servicio de Fastly no se vio afectado.

Impacto

El despliegue de las actualizaciones no afectó a los clientes.

Soluciones provisionales y permanentes

El martes 16 de febrero, Fastly desplegó actualizaciones de seguridad proporcionadas por proveedores en los sistemas de producción afectados para solucionar el origen de la vulnerabilidad. No hace falta ninguna acción por parte del cliente.

Información detallada

Se identificó un desbordamiento del búfer basado en stack en el solucionador del DNS de glibc del lado del cliente, un componente de glibc que permite a los clientes convertir nombres de host en direcciones IP. Para aprovechar la vulnerabilidad del software, un atacante tendría que ser capaz de invocar una búsqueda DNS de un nombre de host bajo su control.

En Fastly, muchos de nuestros sistemas realizan búsquedas DNS por diversos motivos, incluida la resolución de nombres de host de servidores de origen del cliente. Fastly priorizó inmediatamente los sistemas que manejan información de los clientes, evaluó aquellos que tuvieran versiones de glibc afectadas e implementó el parche completo de glibc tras publicarlo el proveedor.

Los sistemas de Fastly funcionan con ASLR habilitado, entre otras mitigaciones de corrupción de la memoria en tiempo de ejecución. ASLR es una técnica de aleatorización de espacios de direcciones que haría más difícil el aprovechamiento fiable de la vulnerabilidad. Supervisamos cuidadosamente los sistemas en busca de errores que pudieran estar relacionados con esta vulnerabilidad y no encontramos ninguna indicación de intento de aprovechamiento.

Más información

Encontrarás más información sobre la vulnerabilidad de glibc en este artículo del blog que trata la incidencia. Tienes más información detallada en este hilo en la lista de distribución de correo de la Biblioteca C de GNU.