Avis du CERT-FR

Json

Objet : Vulnérabilité dans OpenSSL

Gestion du document

Référence	CERTA-2012-AVI-277
Titre	Vulnérabilité dans OpenSSL
Date de la première version	15 mai 2012
Date de la dernière version	15 mai 2012
Source(s)	Avis de sécurité OpenSSL 20120210

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Déni de service à distance

Systèmes affectés

Les applications DTLS reposant sur les versions vulnérables de OpenSSL (client ou serveur) sont vulnérables.

Les versions antérieures à 1.0.1c, 1.0.0j et 0.9.8x sont vulnérables.

Résumé

Une vulnérabilité dans la gestion des ciphersuites en mode CBC a été corrigée dans OpenSSL. Cette vulnérabilité peut-être exploitée pour provoquer un déni de service dans les applications liées à la librairie OpenSSL pour implémenter le protocole DTLS. Seul OpenSSL 1.0.1 et supérieur expose également le protocole TLS.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Référence Avis OpenSSL 20120510 :
http://www.openssl.org/news/secadv_20120510.txt
Référence CVE CVE-2012-2333
https://www.cve.org/CVERecord?id=CVE-2012-2333

Gestion détaillée du document

Date	Description
15 mai 2012	version initiale.