Bulletin d'alerte Debian

DSA-2390-1 openssl -- Plusieurs vulnérabilités

Date du rapport :
15 janvier 2012
Paquets concernés :
openssl
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2011-4108, CVE-2011-4109, CVE-2011-4354, CVE-2011-4576, CVE-2011-4619.
Plus de précisions :

Plusieurs vulnérabilités ont été découvertes dans OpenSSL, une implémentation de TLS et des protocoles associés. Le projet « Common Vulnerabilities and Exposures » (CVE) identifie les problèmes suivants.

  • CVE-2011-4108

    L'implémentation DTLS ne réalise une vérification MAC que si un certain remplissage est valable, ce qui facilite aux attaquants distants la récupération du texte en clair à l'aide d'une attaque d'oracle par remplissage.

  • CVE-2011-4109

    Une vulnérabilité de double libération de zone de mémoire quand X509_V_FLAG_POLICY_CHECK est activé, permet aux attaquants distants de provoquer des plantages d'applications et permet éventuellement l'exécution de code arbitraire en déclenchant des échecs lors d'une vérification de politique.

  • CVE-2011-4354

    Sur les systèmes 32 bits, les opérations sur courbes elliptiques NIST P-256 et P-384 ne sont pas correctement implémentées, avec fuite éventuelle de la clef ECC privée d'un serveur TLS (les clefs normales de type RSA ne sont pas concernées par cette vulnérabilité).

  • CVE-2011-4576

    L'implémentation SSL 3.0 n'initialise pas correctement les structures de données pour le remplissage chiffré de bloc, ce qui pourrait permettre aux attaquants distants d'obtenir des informations sensibles en déchiffrant les données de remplissage envoyées par un pair SSL.

  • CVE-2011-4619

    L'implémentation SGC (Server Gated Cryptography) d'OpenSSL ne traite pas correctement les redémarrages d'établissement de connexion, simplifiant inutilement les attaques par épuisement de processeur.

Pour la distribution oldstable (Lenny), ces problèmes ont été corrigés dans la version 0.9.8g-15+lenny15.

Pour la distribution stable (Squeeze), ces problèmes ont été corrigés dans la version 0.9.8o-4squeeze5.

Pour la distribution testing (Wheezy) et la distribution unstable (Sid), ces problèmes ont été corrigés dans la version 1.0.0f-1.

Nous vous recommandons de mettre à jour vos paquets openssl.