ESET ha corregido una vulnerabilidad en su función de escaneo de tráfico seguro que podía llevar a los navegadores a confiar en páginas web que utilizan certificados firmados con algoritmos obsoletos e inseguros. Así lo ha admitido la propia compañía de ciberseguridad, que tilda el error de "alta gravedad" y especifica que residía en la función de escaneo del protocolo SSL/TLS implementada en los siguientes productos de su catálogo de soluciones:
- ESET NOD32 Antivirus, ESET Internet Security, ESET Smart Security Premium y ESET Security Ultimate.
- ESET Endpoint Antivirus para Windows y ESET Endpoint Security para Windows.
- ESET Endpoint Antivirus para Linux 10.0 y superior.
- ESET Server Security para Windows Server (File Security para Microsoft Windows Server), ESET Mail Security para Microsoft Exchange Server, ESET Mail Security para IBM Domino, ESET Security para Microsoft SharePoint Server y ESET File Security para Microsoft Azure.
- ESET Server Security para Linux 10.1 y superiores.
No habría sido explotada y ya está solucionada
La vulnerabilidad fue causada por una "validación incorrecta de la cadena de certificados del servidor", señala ESET, y explica: "Un certificado intermedio firmado utilizando el algoritmo MD5 o SHA1 se consideraba fiable y, por lo tanto, el navegador en un sistema con la función de escaneo de tráfico seguro de ESET habilitada podría confiar en un sitio protegido con dicho certificado".
La firma de ciberseguridad asegura no tener conocimiento de que esta vulnerabilidad haya sido explotada y, además, subraya que ha divulgado la solución en el módulo de protección de Internet 1464, el cual se distribuye a través de actualizaciones automáticas del producto, por lo que no es necesaria ninguna interacción por parte del usuario.
"La distribución del módulo comenzó el 21 de noviembre de 2023 para los clientes que utilizan el canal de actualización previa al lanzamiento, el 27 de noviembre de 2023 para los usuarios de productos de consumo de ESET y el 11 de diciembre de 2023 para los usuarios que utilizan los productos empresariales y de servidor de ESET", apunta la compañía.