Bulletin d'alerte Debian

DLA-361-1 bouncycastle -- Mise à jour de sécurité pour LTS

Date du rapport :

8 décembre 2015

Paquets concernés :

bouncycastle

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le système de suivi des bogues Debian : Bogue 802671.
Dans le dictionnaire CVE du Mitre : CVE-2015-7940.

Plus de précisions :

La bibliothèque Java Bouncy Castle, avant la version 1.51, ne valide pas qu'un point est à l'intérieur de la courbe elliptique, ce qui facilite pour des attaquants distants l'obtention de clés privées à l'aide de séries d'échanges de clés ECDH (« elliptic curve Diffie Hellman ») contrefaites, attaque dite « par courbe non valable ».

Pour Debian 6 Squeeze, ce problème a été corrigé dans la version 1.44+dfsg-2+deb6u1 de bouncycastle.

Un grand merci à l'auteur amont Peter Dettmann qui a révisé le rétroportage que nous avons préparé.