CVE-2014-0160

Una solicitud de heartbeat malformada engaña a un OpenSSL vulnerable para que responda con lo que sea que esté ubicado junto a la solicitud en la memoria del proceso, hasta 64KB por vez. No hay autenticación, nada se cae y nada queda registrado en un log. El problema para un defensor no es solo que se filtren datos, sino qué se filtra: cookies de sesión, credenciales y, célebremente, la propia clave privada TLS del servidor, todo legible fragmento a fragmento por cualquiera que pueda abrir una conexión TLS.

La razón por la que Heartbleed sigue mereciendo atención años después de los titulares es que el código vulnerable quedó incrustado en lugares que nadie parchea un martes cualquiera: balanceadores de carga, concentradores VPN, cámaras IP, equipos industriales, cualquier cosa que haya enlazado estáticamente un OpenSSL 1.0.1 y se haya distribuido así. Es silencioso por diseño, así que no hay ninguna alerta a posteriori que te diga si las claves ya salieron por la puerta, y el tipo de atacante abarca desde escáneres oportunistas hasta servicios de inteligencia.

Nuestra tarea aquí es arqueología de dependencias, no lectura de avisos. Los servidores web más comunes se corrigieron hace mucho; el riesgo vive en appliances y stacks embebidos donde OpenSSL es invisible para un gestor de paquetes. Inventariamos dónde está realmente enlazada la biblioteca vulnerable y tratamos cualquier instancia expuesta como un evento de compromiso de claves, no como un evento de parcheo: rotar certificados y secretos importa tanto como subir la versión.