Bulletin d'alerte Debian

DLA-177-1 openssl -- Mise à jour de sécurité pour LTS

Date du rapport :
20 mars 2015
Paquets concernés :
openssl
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2015-0209, CVE-2015-0286, CVE-2015-0287, CVE-2015-0288, CVE-2015-0289, CVE-2015-0292, CVE-2015-0293.
Plus de précisions :

Plusieurs vulnérabilités ont été découvertes dans OpenSSL, une boîte à outils associée à SSL (« Secure Sockets Layer »). Le projet « Common Vulnerabilities and Exposures » (CVE) identifie les problèmes suivants.

  • CVE-2015-0209

    Une clé privée EC malformée pourrait résulter en une corruption de la mémoire.

  • CVE-2015-0286

    Stephen Henson a découvert que la fonction ASN1_TYPE_cmp() peut être plantée, résultant en un déni de service.

  • CVE-2015-0287

    Emilia Kaesper a découvert une corruption de la mémoire dans le traitement ASN.1.

  • CVE-2015-0288

    Une absence de vérification des entrées dans la fonction X509_to_X509_REQ() pourrait résulter en un déni de service.

  • CVE-2015-0289

    Michal Zalewski a découvert un déréférencement de pointeur NULL dans le code de traitement PKCS#7, résultant en un déni de service.

  • CVE-2015-0292

    Une absence de vérification des entrées dans le décodage base64 pourrait résulter en une corruption de la mémoire.

  • CVE-2015-0293

    Un client malveillant peut déclencher un OPENSSL_assert (c'est-à-dire, une interruption) dans des serveurs qui à la fois gèrent SSLv2 et permettent d'exporter des suites de chiffrement en envoyant un message de SSLv2 CLIENT-MASTER-KEY contrefait pour l'occasion.

Pour Debian 6 Squeeze, ces problèmes ont été corrigés dans openssl version 0.9.8o-4squeeze20