Le projet OpenSSL a publi\u00e9 des correctifs pour corriger plusieurs failles de s\u00e9curit\u00e9, y compris un bogue de haute gravit\u00e9 dans la bo\u00eete \u00e0 outils de chiffrement open source qui pourrait potentiellement exposer les utilisateurs \u00e0 des attaques malveillantes.<\/p>\n
Suivi comme CVE-2023-0286<\/strong><\/a>le probl\u00e8me concerne un cas de confusion de type qui peut permettre \u00e0 un adversaire de “lire le contenu de la m\u00e9moire ou de proc\u00e9der \u00e0 un d\u00e9ni de service”, ont d\u00e9clar\u00e9 les responsables dans un avis.<\/p>\n La vuln\u00e9rabilit\u00e9 est enracin\u00e9e dans la fa\u00e7on dont la biblioth\u00e8que cryptographique populaire g\u00e8re les certificats X.509, et est susceptible d’affecter uniquement les applications qui ont une impl\u00e9mentation personnalis\u00e9e pour r\u00e9cup\u00e9rer une liste de r\u00e9vocation de certificats (CRL<\/a>) sur un r\u00e9seau.<\/p>\n “Dans la plupart des cas, l’attaque n\u00e9cessite que l’attaquant fournisse \u00e0 la fois la cha\u00eene de certificats et la CRL, dont aucune n’a besoin d’avoir une signature valide”, OpenSSL a dit<\/a>. “Si l’attaquant ne contr\u00f4le qu’une seule de ces entr\u00e9es, l’autre entr\u00e9e doit d\u00e9j\u00e0 contenir une adresse X.400 en tant que point de distribution CRL, ce qui est rare.”<\/p>\n Des d\u00e9fauts de confusion de type pourraient avoir cons\u00e9quences s\u00e9rieuses<\/a>car ils pourraient \u00eatre transform\u00e9s en armes pour forcer d\u00e9lib\u00e9r\u00e9ment le programme \u00e0 se comporter de mani\u00e8re involontaire, provoquant \u00e9ventuellement un plantage ou l’ex\u00e9cution de code.<\/p>\n Le probl\u00e8me a \u00e9t\u00e9 corrig\u00e9 dans les versions 3.0.8, 1.1.1t et 1.0.2zg d’OpenSSL. Autres failles de s\u00e9curit\u00e9 adress\u00e9<\/a> dans le cadre des derni\u00e8res mises \u00e0 jour incluent\u00a0:<\/p>\n L’exploitation r\u00e9ussie des lacunes ci-dessus pourrait entra\u00eener un plantage de l’application, divulguer le contenu de la m\u00e9moire et m\u00eame r\u00e9cup\u00e9rer des messages en clair envoy\u00e9s sur un r\u00e9seau en tirant parti d’un canal lat\u00e9ral bas\u00e9 sur la synchronisation<\/a> dans ce qui est une attaque de style Bleichenbacher.<\/p>\n Les correctifs arrivent pr\u00e8s de deux mois apr\u00e8s qu’OpenSSL ait corrig\u00e9 une faille de faible gravit\u00e9 (CVE-2022-3996<\/a>) qui survient lors du traitement d’un certificat X.509, entra\u00eenant une condition de d\u00e9ni de service.<\/p>\n <\/p>\n\n