Avis du CERT-FR
Objet : Vulnérabilités dans SSL/TLS et Secure Channel de Windows
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Contournement de la politique de sécurité
- Exécution de code arbitraire à distance
Systèmes affectés
Windows, toutes versions, toutes éditions.
Résumé
Deux vulnérabilités affectent le composant Secure Channel de Windows, qui implémente notamment les protocoles TLS et SSL. Leur exploitation permet de contourner la politique de sécurité ou d'exécuter du code arbitraire à distance.
Description
Deux vulnérabilités affectent le composant Secure Channel de Windows :
- (CVE-2009-3555) un problème réside dans les implantation des protocoles TLS et SSL lors de renégociations de sessions. Un utilisateur interposé dans une connexion (man in the middle) peut, dans certaines circonstances, injecter des données à l'encontre d'un utilisateur et contourner la politique de sécurité ;
- (CVE-2010-2566) une erreur de traitement des certificats de clef publique par Secure Channel sur Windows XP SP3 et Windows Server 2003 (toutes éditions) permet à un utilisateur distant malintentionné d'exécuter du code arbitraire à distance.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité Microsoft MS10-049 du 10 août 2010
http://www.microsoft.com/technet/security/Bulletin/MS10-049.mspx -
Document du CERTA CERTA-2009-AVI-482 du 11 août 2010 :
http://www.certa.ssi.gouv.fr/site/CERTA-2009-AVI-482/index.html -
Référence CVE CVE-2009-3555
https://www.cve.org/CVERecord?id=CVE-2009-3555 -
Référence CVE CVE-2010-2566
https://www.cve.org/CVERecord?id=CVE-2010-2566
Gestion détaillée du document
| Date | Description |
|---|---|
| 11 août 2010 | version initiale. |