Avis du CERT-FR
Objet : Multiples Vulnérabilités dans OpenSSL
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Déni de service à distance
- Exécution de code arbitraire à distance
Systèmes affectés
- OpenSSL versions 0.9.7k et antérieures ;
- OpenSSL versions 0.9.8c et antérieures.
Résumé
De multiples vulnérabilités dans OpenSSL permettent à un utilisateur distant de provoquer un déni de service.
Description
Trois vulnérabilités sont présentes dans OpenSSL :
- La première vulnérabilité concerne la mise en œuvre du format ASN.1. Elle permet à un utilisateur distant mal intentionné de provoquer un déni de service de l'application utilisant des fonctions de la bibliothèque ASN.1 du OpenSSL vulnérable ;
- La seconde vulnérabilité concerne la fonction SSL_get_shared_ciphers(). Elle permet de réaliser un débordement de tampon et potentiellement d'exécuter du code arbitraire ;
- La dernière vulnérabilité concerne la mise en œuvre du protocole SSLv2 par le client SSL. Elle permet de réaliser un déni de service contre le client utilisant la bibliothèque de fonctions OpenSSL vulnérable par le biais d'un serveur OpenSSL particulier.
Solution
Les versions 0.9.7l et 0.9.8d corrigent le problème :
http://www.openssl.org/source/
Documentation
-
Bulletin de sécurité OpenSSL du 28 septembre 2006
http://www.openssl.org/news/secadv_20060928.txt -
Référence CVE CVE-2006-2937
https://www.cve.org/CVERecord?id=CVE-2006-2937 -
Référence CVE CVE-2006-2940
https://www.cve.org/CVERecord?id=CVE-2006-2940 -
Référence CVE CVE-2006-3738
https://www.cve.org/CVERecord?id=CVE-2006-3738 -
Référence CVE CVE-2006-4343
https://www.cve.org/CVERecord?id=CVE-2006-4343
Gestion détaillée du document
| Date | Description |
|---|---|
| 03 octobre 2006 | version initiale. |