La extensión de OpenSSL tiene una vulnerabilidad a través de un sistema de
empate de nombres demasiado flexible, que puede llevar a algunos problemas como
[CVE-2014-1492][CVE-2014-1492].

Problemas similares fueron encontrados en [Python][python-hostname-bug].

A esta vulnerabilidad se le ha asignado el identificador
[CVE-2015-1855][CVE-2015-1855].

Les recomendamos urgentemente que actualicen Ruby.

## Detalles

Después de revisar [RFC 6125][RFC-6125] y [RFC 5280][RFC-5280], encontramos
varias violaciones a la manera en que se hace el empate de nombres de host
particularmente con certificados de estrella.

La extensión de OpenSSl de Ruby ahora va a proveer un algoritmo de empate basado
en cadenas que sigue un comportamiento _más_ estricto, como recomiendan los RFC
mencionados.

En particular, el empate de más de una de las estrellas por sujeto/SAN ya no será
permitido. Así como también la comparación de estos valores ahora va a tomar
en cuenta la diferencia entre mayúsculas y minúsculas.

Este cambio va a afectar el comportamiento de la función `OpenSSL::SSL#verify_certificate_identity`.

Específicamente:

* Solamente será permitido un carácter de estrella en la parte izquierda de el
nombre de host.
* Los nombres IDNA ahora solo serán empatados con una estrella (e.g. '\*.dominio')
* Sujeto/SAN ahora estará limitado solo a caracteres válidos ASCII.

Todos los usuarios usando una versión afectada deberían actualizar inmediatamente.

## Versiones Afectadas

* Todas las versiones de Ruby 2.0 posteriores a 2.0.0-p645
* Todas las versiones de Ruby 2.1 posteriores a 2.1.6
* Todas las versiones de Ruby 2.2 posteriores a 2.2.2
* Cualquier versión posterior a la revisión 50292

## Creditos

Agradecemos a Tony Arcieri, Jeffrey Walton, y Steffan Ullrich por reportar
el problema. Originalmente fue reportado como [Bug #9644][Bug-9644],
y con los parches enviados por Tony Arcieri y Hiroshi Nakamura.

## Historia

* Publicado originalmente 2015-04-13 12:00:00 (UTC)

[CVE-2014-1492]: https://bugzilla.mozilla.org/show_bug.cgi?id=903885
[python-hostname-bug]: https://bugs.python.org/issue17997
[CVE-2015-1855]: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-1855
[RFC-6125]: https://tools.ietf.org/html/rfc6125
[RFC-5280]: https://tools.ietf.org/html/rfc5280
[Bug-9644]: https://bugs.ruby-lang.org/issues/9644