Avis du CERT-FR
Objet : Vulnérabilité des certificats SSL dans KDE
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Usurpation d'identité
Systèmes affectés
Toutes les versions de KDE jusqu'à la version 3.0.2 incluse sont vulnérables.
Résumé
KDE ne vérifie pas tous les champs des certificats utilisés pour authentifier des pages Web ou pour signer des méls. Un utilisateur mal intentionné peut générer son propre certificat permettant une usurpation d'identité (attaque de type « man in the middle »).
Description
Les certificats au standard X.509 possèdent plusieurs champs d'options. Un de ces champs s'appelle « Basic Constraints Field » et indique la longueur maximum autorisée pour une chaine de certificats ainsi que si le certificat est d'autorité ou non. Les librairies de KDE ne vérifient pas ce champ et donc, un certificat, habilement conçu par un utilisateur mal intentionné, peut passer pour un certificat d'autorité.
Solution
- Installer la version 3.0.3 des librairies de KDE (kdelibs3.0.3) ;
- Un correctif est disponible pour kde 2.2.2 (Consulter la section Documentation).
Documentation
-
Avis #20020818-1 de KDE
http://www.kde.org/info/security/advisory-20020818-1.txt
Gestion détaillée du document
| Date | Description |
|---|---|
| 06 septembre 2002 | version initiale ; |
| 09 septembre 2002 | Ajout du bulletin de sécurité de Debian ; |
| 13 septembre 2002 | Ajout du bulletin de sécurité de Mandrake. |