Avis du CERT-FR

Description

Des travaux de recherche sur les implémentations des protocoles SSL/TLS ont démontré de nouvelles sources de vulnérabilité :

• En ouvrant de très nombreuses sessions avec serveur et en utilisant des contenus chiffrés habilement choisis, il est possible d'obtenir le chiffrement/déchiffrement d'un texte arbitraire par la clé privée RSA du serveur. Cela peut alors permettre de déchiffrer une session interceptée ou d'usurper l'identité du serveur.
• Moyennant une certaine proximité, il est possible de déterminer la clé privée d'un serveur en mesurant ses temps de réponse. La plupart des implémentations matérielles et la bibliothèque NSS du navigateur Mozilla ne semblent pas vulnérables.

Solution

• Mettre à jour les sources de la bibliothèque OpenSSL :

  http://www.openssl.org/news/secadv_20030317.txt
  
  http://www.openssl.org/news/secadv_20030319.txt
  

• Mettre à jour la bibliothèque Crypt++ en version 5.1 au moins :

  http://www.eskimo.com/~weidai/cryptlib.html
  

• Mettre à jour les programmes/modules suivants :

  • Stunnel :

    http://marc.theaimsgroup.com/?l=stunnel-users&m=104827610907579&w=2
    

  • mod_ssl pour serveur web Apache :

    http://marc.theaimsgroup.com/?l=apache-modssl&m=10480002921649&w=2
    

  • OpenSSH :

    http://www.openssh.com
    

• Appliquer le correctif du vendeur :

  • OpenBSD :

    http://www.openbsd.com/errata.html
    

  • FreeBSD :

    ftp://ftp.freebsd.org/pub/FreeBSD/CERT/advisories/FreeBSD-SA-03:06.openssl.asc
    

  • NetBSD :

    ftp://ftp.netbsd.org/pub/NetBSD/security/advisories/NetBSD-SA2003-007.txt.asc
    

  • MacOSX :

    http://docs.info.apple.com/article.html?artnum=120199
    

  • IBM ``AIX Toolbox for Linux'' OpenSSL et mod_ssl :

    http://www6.software.ibm.com/dl/aixtbx/aixtbx-p
    

  • OpenPKG :

    http://www.openpkg.org/security/OpenPKG-2003.026-openssl.html
    

  • SCO OpenLinux :

    ftp://ftp.sco.com/pub/security/OpenLinux/CSSA-2003-014.0.txt
    

  • Gentoo Linux :

    http://forums.gentoo.org/viewtopic.php?t=43709
    

  • Trustix Secure Linux :

    http://www.trustix.net/errata/misc/2003/TSL-2003-0010-openssl.asc.txt
    

  • Engarde Secure Linux :

    http://www.linuxsecurity.com/advisories/engarde_advisory-3009.html