• Buzz chaud du moment
  • Buzz chaud du moment
Actualités

“Les utilisateurs d’OpenSSL 3.0.0 – 3.0.6 sont encouragés à passer à la version 3.0.7 dès que possible” : retour sur les deux vulnérabilités sous OpenSSL !

Découvertes le 17-18 Octobre 2022, après un embargo sécuritaire, les détails des deux failles sous OpenSSL sont divulguées, depuis le 1er Novembre 2022 : assignées CVE-2022-3602 et CVE-2022-3786, les vulnérabilités permettaient d’opérer une cyber-attaque par déni de service ou DoS…

 

 

Dans un client TLS, cela peut être déclenché en se connectant à un serveur malveillant. Dans un serveur TLS, cela peut être déclenché si le serveur demande l’authentification du client et qu’un client malveillant se connecte“, indique le bulletin sécuritaire. Du reste, condensé du bulletin émis par OpenSSL, depuis le 1er Novembre 2022, via un survol de ces deux vulnérabilités :

 

  • CVE-2022-3602 : un dépassement de mémoire-tampon (de 4 octets) peut s’opérer lors de l’étape de la “vérification de contrainte de nom […] après la vérification de la signature de la chaîne de certificats” X.509. Des conditions spécifiques doivent être effectuées par l’individu ou le groupe d’individus (au choix : signature d’une autorité complice de l’acte malveillant ou que la poursuite de vérification perdure alors que l’échec du certificat, sa validité, devrait être signifié) pour que le buffer overflow soit efficace et puisse déboucher sur une cyber-attaque de type DoS et / ou une exécution de code à distance ;

  • CVE-2022-3786 : même origine et finalité que ci-dessus à la différence que la vulnérabilité aura une étendue plus vaste en terme de dépassement (nombre plus variable).

 

 

Pour les administrateurs ou utilisateurs sous OpenSSL en v3.0.0 minimum (jusqu’à la v3.0.6), il est vivement recommandé, si ce n’est déjà fait, de mettre à jour la version préconisée par le système (à savoir, la version 3.0.7). Il est confirmé que les versions 1.1.1 et 1.0.2 ne sont PAS concernées par ces deux vulnérabilités bien qu’il soit recommandé de vérifier qu’une mise à jour plus récente, ne soit pas disponible.

La jauge de gravité a été abaissée, par ailleurs et pour information, du fait de retours et commentaires de “plusieurs organisations“, post-tests (avant la publication officielle de la teneur de ces failles) : d’une part, les retours de ces entités ont confirmé que sous Linux, le dépassement de tampon (de 4 octets) aurait peu d’impact du fait que l’écrasement était, en général, relatif à un “tampon adjacent qui n’était pas encore utilisé” et, d’autre part, des mesures ou blocages sécuritaires de “plate-formes modernes” empêchaient ce type d’exploit (buffer overflow). En revanche, malgré ces tests qui ont pu, dans le concret, avancer ces arguments, il n’est toujours pas garanti qu’une imprévisibilité se produise dans la variation de l’exploit (effectif), malgré certains barrages sécuritaires, selon le système, en raison des différentes “combinaisons de plate-forme et de compilateur”, quand à la structure des “tampons sur la pile“, ce qui peut générer, potentiellement, si le patch n’est pas appliqué en v3.0.0 minimum, une exécution distante de code et / ou une cyber-attaque par DoS. Quand à l’autre vulnérabilité (buffer overflow sur un nombre plus variable), celle-ci a été qualifiée de haute du fait que l’exploit pouvait reposer uniquement sur “la longueur et non le contenu de l’écrasement“. Pour l’heure et officiellement, OpenSSL confirme n’avoir observé aucun exploit de ces deux vulnérabilités dans la nature… à veiller !

 

 

 

Sources :

50% J'apprécieVS
50% Je n'apprécie pas



  • Pas de commentaire

    Laisser un commentaire

    ;) :zzz: :youpi: :yes: :xmas: :wink: :whistle: :warning: :twisted: :sw: :sleep: :sg1: :schwarzy: :sarko: :sante: :rollol: :roll: :rip: :pt1cable: :popcorn: :pff: :patapai: :paf: :p :ouch: :oops: :o :non: :na: :mrgreen: :mdr: :macron: :love: :lol: :kissou: :kaola: :jesuisdehors: :jap: :ilovesos: :idea: :houra: :hello: :heink: :grumpy: :fume: :frenchy: :fouet: :fouet2: :first: :fessee: :evil: :dispute: :demon: :cryy: :cry: :cpignon: :cool: :cassepc: :capello: :calin: :bug: :boxe: :bounce: :bluesbro: :bisou: :babyyoda: :assassin: :arrow: :annif: :ange: :amen: :D :??: :?: :/ :-| :-x :-o :-P :-D :-? :-8 :-1: :+1: :) :( 8-O

    Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.

    Copyright © Association SOSOrdi.net 1998-2022 - v1.14.0