Bulletin d'alerte Debian

DLA-1150-1 wpa -- Mise à jour de sécurité pour LTS

Date du rapport :
31 octobre 2017
Paquets concernés :
wpa
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2017-13077, CVE-2017-13078, CVE-2017-13079, CVE-2017-1308, CVE-2017-13081, CVE-2017-13082, CVE-2017-13086, CVE-2017-1308, CVE-2017-13088.
Plus de précisions :

Une vulnérabilité a été découverte dans le code WPA. Ce dernier peut être entrainé à reconfigurer les clefs WPA/WPA2/RSN (TK, GTK ou IGTK) en rejouant une trame spécifique utilisée pour gérer les clefs. Une telle réinstallation de la clef de chiffrement peut aboutir à deux types différents de vulnérabilités : désactivation de la protection de relecture et réduction de manière significative de la sécurité du chiffrement au point de permettre à des trames d’être déchiffrées, ou identification des parties de clefs par un attaquant en fonction du chiffrement utilisé.

Ces problèmes sont couramment connues sous l’appellation KRACK. Selon US-CERT, « l’impact de l’exploitation de ces vulnérabilités inclut le déchiffrement, le rejeu de paquet, le détournement de connexion TCP, l’injection de contenu HTTP entre autres ».

  • CVE-2017-13077

    Réinstallation de la clef de chiffrement « pairwise » (PTK-TK) dans l’initialisation de connexion 4-way.

  • CVE-2017-13078

    Réinstallation de la clef de groupe (GTK) dans l’initialisation de connexion 4-way.

  • CVE-2017-13079

    Réinstallation de la clef d’intégrité de groupe (IGTK) dans l’initialisation de connexion 4-way.

  • CVE-2017-13080

    Réinstallation de la clef de groupe (GTK) dans l’initialisation de connexion de clef de groupe.

  • CVE-2017-13081

    Réinstallation de la clef d’intégrité de groupe (IGTK) dans l’initialisation de connexion de clef de groupe.

  • CVE-2017-13082

    Acception d’une requête retransmise de réassociation Fast BSS Transition (FT) et réinstallation de la clef de chiffrement « pairwise » (PTK-TK) lors de son traitement.

  • CVE-2017-13084

    Réinstallation de la clef STK dans l’initialisation de connexion PeerKey.

  • CVE-2017-13086

    Réinstallation de la clef Peerkey (TPK) Tunneled Direct-Link Setup (TDLS) dans l’initialisation de connexion TDLS.

  • CVE-2017-13087

    Réinstallation de la clef de groupe (GTK) lors du traitement d’une trame de réponse du mode « sleep » Wireless Network Management (WNM).

  • CVE-2017-13088

    Réinstallation de la clef d’intégrité de groupe (IGTK) lors du traitement d’une trame de réponse du mode « sleep » Wireless Network Management (WNM).

Pour Debian 7 Wheezy, ces problèmes ont été corrigés dans la version 1.0-3+deb7u5. Remarquez que les deux dernières vulnérabilités (CVE-2017-13087 et CVE-2017-13088) étaient de manière fautive marquées comme corrigées dans le journal de modifications alors qu’elles ne s’appliquaient pas à la version 1.0 du code source WPA, qui n’implémentent pas les réponses du mode « sleep » WNM.

Nous vous recommandons de mettre à jour vos paquets wpa.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.