Zlib 1.4 ya está disponible como la nueva versión de la biblioteca de compresión más utilizada del software libre, e incorpora más de una docena de correcciones de seguridad que cubren desbordamientos de búfer, escrituras fuera de límites, lecturas antes del inicio de la entrada y acceso a memoria no inicializada.
La versión se publicó el 5 de noviembre y llega en un momento en el que las herramientas automáticas de análisis de código están detectando fallos que durante años pasaron desapercibidos. Zlib es una pieza ubicua: está presente en navegadores, servidores web, sistemas operativos, formatos de archivo, protocolos de red y una cantidad enorme de aplicaciones que comprimen o descomprimen datos. Una vulnerabilidad en esta biblioteca tiene un alcance que va mucho más allá de un programa concreto.
¿Qué fallos corrige Zlib 1.4?
La lista de correcciones de seguridad es el núcleo de esta actualización. Zlib 1.4 soluciona:
- Desbordamientos de búfer en distintas rutas de procesamiento.
- Escrituras que sobrepasan los límites del búfer de destino.
- Lecturas antes del inicio de la entrada, un fallo que puede exponer memoria adyacente.
- Copia de memoria no inicializada a la salida, que puede filtrar datos residuales.
- Lecturas fuera de la ventana de compresión, un tipo de acceso que compromete la integridad del proceso.
- Varias correcciones en minizip, la utilidad que acompaña a la biblioteca para trabajar con archivos ZIP.
Ninguno de estos fallos se describe como explotado activamente en la información publicada, pero su naturaleza —desbordamientos y accesos fuera de límites— los convierte en candidatos clásicos para ataques de denegación de servicio o, en escenarios concretos, para ejecución de código.
¿Por qué una actualización de Zlib es más importante de lo que parece?
Zlib no es una aplicación que el usuario abra y cierre. Es una biblioteca que otros programas enlazan para comprimir y descomprimir datos. Eso significa que un fallo en Zlib puede manifestarse en cualquier programa que la utilice, desde un servidor web que sirve contenido comprimido hasta un lector de archivos ZIP, pasando por un cliente de correo o un navegador.
La actualización de Zlib no siempre es tan visible como la de una aplicación. Muchos sistemas operativos incluyen su propia copia de la biblioteca y la actualizan a través de los repositorios oficiales. Otras aplicaciones empaquetan su propia versión y dependen de que el desarrollador publique una nueva entrega. Por eso, tras la publicación de Zlib 1.4, lo habitual es que las distribuciones de Linux, los sistemas BSD y los proyectos que la incluyen vayan incorporando la corrección en los días o semanas siguientes.
Mejoras en el sistema de compilación y soporte para Android
Además de las correcciones de seguridad, Zlib 1.4 incluye varias actualizaciones en su sistema de compilación CMake, mejoras en la documentación y una serie de correcciones de errores que no afectan a la seguridad pero sí a la estabilidad y a la compatibilidad.
La versión también incorpora soporte para archivos grandes en Android, un cambio relevante para las aplicaciones móviles que manejan archivos comprimidos de gran tamaño. Android es una de las plataformas donde Zlib tiene presencia constante, y el soporte para archivos de más de 2 GB amplía los casos de uso sin requerir modificaciones en el código de las aplicaciones.
¿Quién debería actualizar y cómo hacerlo?
La recomendación de los mantenedores es actualizar a Zlib 1.4 en todos los entornos que utilicen la biblioteca. El proceso depende del contexto:
Usuarios de distribuciones Linux. La actualización llegará a través del gestor de paquetes de cada distribución. No es necesario compilar manualmente. Conviene aplicar las actualizaciones de seguridad habituales cuando estén disponibles.
Desarrolladores que incluyen Zlib en sus proyectos. Deben actualizar la dependencia a la versión 1.4 y recompilar sus aplicaciones. Si el proyecto empaqueta su propia copia de Zlib, la actualización debe hacerse de forma explícita.
Administradores de servidores. Conviene revisar si los servicios que gestionan compresión —servidores web, proxies, sistemas de almacenamiento— utilizan una versión vulnerable y actualizarla en cuanto sea posible.
Usuarios de aplicaciones que incluyen Zlib de forma estática. Algunas aplicaciones compilan Zlib dentro de su propio binario. En esos casos, la actualización depende del desarrollador de la aplicación, no del sistema operativo.
Lo que no se sabe todavía
El anuncio de Zlib 1.4 no detalla la gravedad individual de cada fallo ni asigna identificadores CVE específicos en la información publicada. Tampoco especifica qué versiones anteriores están afectadas por cada uno de los problemas corregidos, aunque se presume que las versiones 1.3.x y anteriores son vulnerables a la mayoría de ellos.
Los detalles completos están disponibles en el sitio oficial del proyecto, zlib.net, donde se puede descargar la nueva versión y consultar las notas de publicación.
El patrón que se repite
Zlib 1.4 se suma a una serie de actualizaciones de software libre que, en los últimos meses, han llegado cargadas de correcciones de seguridad detectadas por herramientas automáticas de análisis. Esa tendencia tiene dos lecturas.
La positiva es que el software es más seguro que antes: fallos que permanecieron ocultos durante años están siendo identificados y corregidos. La negativa es que la superficie de exposición conocida ha crecido: lo que antes se desconocía ahora se documenta, y eso incluye vulnerabilidades que podrían haber sido explotadas sin que nadie lo supiera.
En el caso de Zlib, la biblioteca lleva décadas en producción y su código ha sido revisado por miles de desarrolladores. Que aún se encuentren fallos de este tipo demuestra que la seguridad del software no es un estado que se alcanza, sino un proceso que se mantiene. La actualización a 1.4 es un paso en ese proceso.
Descubre más desde CIBERED
Suscríbete y recibe las últimas entradas en tu correo electrónico.
