Sonatype ha documentado una vulnerabilidad en la implementación de las listas de bloqueo de certificados (blocked.certs) en Java, que permite eludir las protecciones de seguridad mediante la re-codificación de certificados comprometidos. Durante la investigación sobre el incidente de eMudhra, el equipo de Sonatype Research Labs descubrió que, aunque Java rechaza los certificados con huellas dactilares SHA-256 exactas, acepta versiones re-codificadas que mantienen la validez de la firma digital. Este hallazgo, confirmado mediante pruebas reproducibles con claves ECDSA y RSA, demuestra que el bloqueo basado en huellas dactilares exactas no cubre todas las representaciones equivalentes de un certificado, ya que el cálculo de la huella depende de los bytes codificados exactos. Los investigadores modificaron el valor de la firma en certificados ECDSA y eliminaron parámetros nulos en RSA, generando nuevos fingerprints que no coincidían con la lista de bloqueo, pero que el runtime Java aceptaba como válidos. Este comportamiento limita la eficacia de las listas de bloqueo como única medida de mitigación. Sonatype recomienda a los equipos de seguridad verificar las configuraciones de confianza y los runtimes Java en sus entornos, ya que la eliminación de las raíces afectadas puede interrumpir conexiones TLS legítimas. La organización advierte que estos resultados son específicos de las versiones de JDK y configuraciones de almacenes de confianza probadas, y que los equipos deben validar las protecciones en sus propios sistemas antes de confiar exclusivamente en las listas de bloqueo.
Noticias agregadas con IA