|
|
SECURinfos.INFO - Bulletins de sécurité informatique, Alertes et Protection
OpenSSL : Vulnérabilités Diverses
29/09/2006 18H34
Référence Secunia : SA22130
Date de publication : 2006-09-28
Dernière mise à jour : 2006-09-29
Risque : Critique. Niveau 4 sur 5. 
Impact : DoS, Accès au système
Lieu : A distance
Solutions : Correctif de l'éditeur
Produit :
OpenSSL 0.9.x
Référence CVE :
CVE-2006-2937
CVE-2006-2940
CVE-2006-3738
CVE-2006-4343
Description :
Quelques vulnérabilités ont été identifiées dans OpenSSL, qui pourraient être exploitées par des personnes malintentionnées pour causer un Déni de Service (DoS) et compromettre un système vulnérable.
1) Une erreur dans le traitement de certain invalid ASN.1 structures pourrait être exploitée pour entrainer une boucle infinie et consommer system memory dans une application utilisant OpenSSL to process ASN.1 data depuis des sources non fiables.
NOTE : Ceci n'affecte pas versions inférieures à 0.9.7.
2) Certains types de public keys take overly long time to process et pourrait être exploitée pour causer un DoS dans une application utilisant OpenSSL to process ASN.1 data depuis des sources non fiables.
3) Une erreur dans la fonction "SSL_get_shared_ciphers()" pourrait être exploitée pour causer un buffer overflow en envoyant une liste de ciphers to une application en utilisant la fonction vulnérable.
L'exploitation de ce problème permet l'exécution de commandes arbitraires.
4) Une erreur dans le SSLv2 client code pourrait être exploitée par un serveur malicieux à planter un client vulnérable en utilisant OpenSSL pour créer an SSLv2 connection au serveur.
Solutions :
OpenSSL 0.9.7 branch:
Mettre à jour en version 0.9.7l ou supérieure.
OpenSSL 0.9.8 branch:
Mettre à jour en version 0.9.8d ou supérieure.
Vulnérabilité découverte par :
1, 2) Dr. S. N. Henson, Open Network Security
3, 4) Tavis Ormandy et Will Drewry, Google Security Team
Historique :
2006-09-29: Bulletin mis à jour avec additional information. Increased critiqueity. Ajout de liens to des notes de vulnérabilité du US-CERT.
Référence :
http://www.openssl.org/news/secadv_20060928.txt
Autres références :
US-CERT VU#247744:
http://www.kb.cert.org/vuls/id/247744
US-CERT VU#386964:
http://www.kb.cert.org/vuls/id/386964
US-CERT VU#423396:
http://www.kb.cert.org/vuls/id/423396
US-CERT VU#547300:
http://www.kb.cert.org/vuls/id/547300
Veuillez noter : L'information sur laquelle est basé ce bulletin Secunia provient d'un tiers sans mention du contraire.
Les noms, marques et enseignes cités sur ce site sont la propriété de leurs déposants respectifs.
Derniers bulletins de sécurité informatique
Bulletins de sécurité informatiques relatifs
|
|
|
SECURINFOS