Heartbleed (CVE-2014-0160)

Divulgado en abril de 2014, Heartbleed (CVE-2014-0160) es una falta de comprobación de límites en OpenSSL 1.0.1 a 1.0.1f al procesar mensajes heartbeat de TLS. Enviando un heartbeat que declara un payload mayor que el real, el atacante hacía que el servidor devolviese esa cantidad de memoria adyacente, repetidamente, sin dejar rastro, sobre TLS legítimo. Los contenidos robados solían incluir claves privadas RSA, cookies de sesión, credenciales y correos de servidores web, gateways VPN y dispositivos embebidos. El impacto desencadenó parcheo masivo, rotación de claves y revocación de certificados a nivel mundial. La corrección es OpenSSL 1.0.1g o posterior, asumiendo compromiso y rotando claves y sesiones.