Le projet OpenSSL a d\u00e9ploy\u00e9 des correctifs pour contenir deux failles de haute gravit\u00e9 dans sa biblioth\u00e8que de cryptographie largement utilis\u00e9e qui pourraient entra\u00eener un d\u00e9ni de service (DoS) et l’ex\u00e9cution de code \u00e0 distance.<\/p>\n
Les probl\u00e8mes, suivis comme CVE-2022-3602 et CVE-2022-3786<\/a>ont \u00e9t\u00e9 d\u00e9crites comme des vuln\u00e9rabilit\u00e9s de d\u00e9passement de m\u00e9moire tampon qui peuvent \u00eatre d\u00e9clench\u00e9es lors de la v\u00e9rification du certificat X.509 en fournissant une adresse e-mail sp\u00e9cialement con\u00e7ue.<\/p>\n “Dans un client TLS, cela peut \u00eatre d\u00e9clench\u00e9 en se connectant \u00e0 un serveur malveillant”, a d\u00e9clar\u00e9 OpenSSL dans un avis pour CVE-2022-3786. “Dans un serveur TLS, cela peut \u00eatre d\u00e9clench\u00e9 si le serveur demande l’authentification du client et qu’un client malveillant se connecte.”<\/p>\n OpenSSL est une impl\u00e9mentation open source des protocoles SSL et TLS utilis\u00e9s pour la communication s\u00e9curis\u00e9e et est int\u00e9gr\u00e9e \u00e0 plusieurs syst\u00e8mes d’exploitation et \u00e0 une large gamme de logiciels.<\/p>\n Les versions 3.0.0 \u00e0 3.0.6 de la biblioth\u00e8que sont affect\u00e9es par les nouvelles failles, qui ont \u00e9t\u00e9 corrig\u00e9es dans la version 3.0.7. Il convient de noter que les versions OpenSSL 1.x couramment d\u00e9ploy\u00e9es ne sont pas vuln\u00e9rables.<\/p>\n Par donn\u00e9es partag\u00e9es par Censys<\/a>environ 7 062 h\u00f4tes ex\u00e9cuteraient une version sensible d’OpenSSL au 30 octobre 2022, la majorit\u00e9 d’entre eux \u00e9tant situ\u00e9s aux \u00c9tats-Unis, en Allemagne, au Japon, en Chine, en Tch\u00e9quie, au Royaume-Uni, en France, en Russie, au Canada et aux Pays-Bas. .<\/p>\n Alors que CVE-2022-3602 \u00e9tait initialement trait\u00e9<\/a> en tant que vuln\u00e9rabilit\u00e9 critique, sa gravit\u00e9 a depuis \u00e9t\u00e9 d\u00e9class\u00e9<\/a> \u00e0 \u00c9lev\u00e9, citant les protections contre le d\u00e9bordement de pile dans les plates-formes modernes. Les chercheurs en s\u00e9curit\u00e9 Polar Bear et Viktor Dukhovni ont \u00e9t\u00e9 cr\u00e9dit\u00e9s d’avoir signal\u00e9 CVE-2022-3602 et CVE-2022-3786 les 17 et 18 octobre 2022.<\/p>\n Le projet OpenSSL a en outre not\u00e9 que les bogues ont \u00e9t\u00e9 introduits dans OpenSSL 3.0.0 dans le cadre de punycode<\/a> fonctionnalit\u00e9 de d\u00e9codage actuellement utilis\u00e9e pour traiter les contraintes de nom d’adresse e-mail dans les certificats X.509.<\/p>\n Malgr\u00e9 le changement de gravit\u00e9, OpenSSL a d\u00e9clar\u00e9 qu’il consid\u00e9rait “ces probl\u00e8mes comme de graves vuln\u00e9rabilit\u00e9s et les utilisateurs concern\u00e9s sont encourag\u00e9s \u00e0 effectuer la mise \u00e0 niveau d\u00e8s que possible”.<\/p>\n La version 3.0, la version actuelle d’OpenSSL, est group\u00e9<\/a> avec Syst\u00e8me d’exploitation Linux<\/a> des saveurs telles que Ubuntu 22.04 LTS, CentOS, macOS Ventura et Fedora 36, \u200b\u200bentre autres. Les images de conteneur cr\u00e9\u00e9es \u00e0 l’aide des versions concern\u00e9es de Linux sont \u00e9galement impact\u00e9es.<\/p>\n Selon un consultatif<\/a> publi\u00e9 par Docker, environ 1 000 r\u00e9f\u00e9rentiels d’images pourraient \u00eatre affect\u00e9s sur diverses images Docker Official Images et Docker Verified Publisher images.<\/p>\n La derni\u00e8re faille critique corrig\u00e9e par OpenSSL remonte \u00e0 septembre 2016, lors de sa fermeture CVE-2016-6309<\/a>un bogue d’utilisation apr\u00e8s lib\u00e9ration pouvant entra\u00eener un plantage ou l’ex\u00e9cution de code arbitraire.<\/p>\n La bo\u00eete \u00e0 outils logicielle OpenSSL a \u00e9t\u00e9 plus particuli\u00e8rement affect\u00e9e par Heartbleed (CVE-2014-0160), un grave probl\u00e8me de gestion de la m\u00e9moire dans la mise en \u0153uvre de l’extension de pulsation TLS\/DTLS, permettant aux attaquants de lire des parties de la m\u00e9moire d’un serveur cible.<\/p>\n “Une vuln\u00e9rabilit\u00e9 critique dans une biblioth\u00e8que de logiciels comme OpenSSL, qui est si largement utilis\u00e9e et si fondamentale pour la s\u00e9curit\u00e9 des donn\u00e9es sur Internet, est une vuln\u00e9rabilit\u00e9 qu’aucune organisation ne peut se permettre d’ignorer”, SentinelOne a dit<\/a>.<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/Google-Cloud-bloque-une-attaque-DDoS-record-de-46-millions.png\")
<\/a><\/div>\n