El protocolo SSL 3.0, usado en OpenSSL hasta la versión 1.0.1i y otros productos, emplea relleno CBC no determinista, lo que facilita que atacantes man-in-the-middle obtengan datos en claro mediante un ataque de padding-oracle. Esta vulnerabilidad, conocida como POODLE, afecta a múltiples sistemas operativos y distribuciones, incluyendo Apple macOS, Debian, Fedora, IBM AIX, IBM VIOS, Mageia, NetBSD y SUSE Linux Enterprise Desktop.
Con un CVSS de 3.4 y una probabilidad de explotación real del 100% en los próximos 30 días según EPSS, el impacto es significativo: los atacantes pueden interceptar y descifrar comunicaciones sensibles. Existen al menos 5 pruebas de concepto públicas en GitHub, lo que subraya la urgencia de deshabilitar SSL 3.0 y migrar a TLS 1.2 o superior.
| CVE | CVE-2014-3566 |
|---|---|
| Severidad | LOW |
| CVSS | 3.4 / 10 |
| EPSS | 100.0% en 30 días (percentil 100) |
| CWE | CWE-310, CWE-329 |
| Exposición (Shodan) | 111.152 host(s) expuesto(s) en internet ahora mismo |
| PoC público | github.com, github.com, github.com |