HollowByte: la vulnerabilidad de OpenSSL que congela servidores con solo 11 bytes
Imaginate que alguien logra congelar tu servidor web con apenas 11 bytes de datos. Suena a ciencia ficción, pero es exactamente lo que permite hacer HollowByte, una vulnerabilidad recién descubierta en OpenSSL que fue parcheada sin fanfarria en junio y que podría estar afectando miles de servidores en la región sin que ni siquiera sepan que están vulnerables.
¿Qué pasó?
OpenSSL, la librería de cifrado que asegura la mayoría de las conexiones HTTPS de internet, tiene un fallo que permite consumir memoria de forma masiva con mínimo esfuerzo. El equipo de seguridad de Okta (empresa líder en identidad digital) descubrió que un atacante puede enviar una solicitud TLS de solo 11 bytes a un servidor vulnerable y provocar que este reserve hasta 131 KB de memoria para un mensaje que nunca llegará.
Lo preocupante es lo que pasó después: OpenSSL liberó el parche en junio sin emitir un CVE (identificador de vulnerabilidad), sin advisory de seguridad y sin mencionar nada en el changelog. Fue el equipo rojo de Okta quien bautizó el fallo como "HollowByte" y lo hizo público. En sistemas con glibc (la librería estándar de Linux), esa memoria queda bloqueada hasta que el proceso se reinicia. Si un atacante mantiene abierto el flujo de solicitudes maliciosas, puede literalmente drenar toda la RAM disponible.
Es un ataque de denegación de servicio (DoS) clásico pero devastador: no necesitás acceso privilegiado, no necesitás vulnerabilidades complejas, solo 11 bytes repetidos pueden tumbar un servidor en producción.
¿Por qué importa en Argentina y América Latina?
En la región, OpenSSL está en prácticamente todos lados: desde servidores de bancos y fintech hasta plataformas de e-commerce, servicios de gobierno digital, y cualquier infraestructura que maneje datos sensibles. Si tu startup está hosteada en AWS, Google Cloud o Azure, usas OpenSSL. Si tu banco online usa certificados HTTPS (spoiler: todos los usan), OpenSSL está ahí.
El problema es que muchas organizaciones en LATAM no tienen equipos de seguridad dedicados monitoreando parches de bajo perfil. Una vulnerabilidad que se filtra sin CVE ni advisory es exactamente el tipo de cosa que se pasa por alto. Esto es especialmente crítico en Argentina donde muchas empresas medianas y PYMEs no tienen el lujo de tener a alguien checando changelogs de librerías cada día.
¿Qué se recomienda?
Si administrás servidores: Actualizá OpenSSL a la versión más reciente ahora mismo. No esperes. Revisá tus logs de junio hacia adelante para ver si hay patrones de solicitudes cortas anómalas. Si usás un panel de control como cPanel, Plesk o similar, asegurate de que los parches automáticos estén habilitados.
Si trabajás en seguridad: Monitoreá el tráfico TLS incompleto. Un atacante que intenta explotar esto dejará un rastro de conexiones que no se completan. Implementá rate limiting en tus firewalls para conexiones TLS anómalas.
Si sos desarrollador: Checkeá qué versión de OpenSSL estás usando en tus dependencias. En Python, Node.js, PHP y Go, la versión del sistema importa. Considerate vulnerabilidades de la cadena de suministro como una tarea de rutina.
La lección acá es clara: la seguridad en América Latina no puede depender solo de que la gente lea advisories que no se publican. Necesitamos una cultura donde actualizar sea la norma, no la excepción.
Fuente: The Hacker News
