Bulletin d'alerte Debian

DLA-944-1 openvpn -- Mise à jour de sécurité pour LTS

Date du rapport :

16 mai 2017

Paquets concernés :

openvpn

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2017-7479.

Plus de précisions :

Déni de service dû à un épuisement du compteur de Packet-ID.

Un client authentifié peut provoquer la relance du compteur packet-id du serveur. Cela conduirait à ce que le processus du serveur utilise un ASSERT() et cesser de fonctionner. Pour que le serveur utilise l’ASSERT(), le client doit d’abord faire que le serveur envoie 2^32 paquets (au moins 196 GB).

Pour Debian 7 Wheezy, ces problèmes ont été corrigés dans la version 2.2.1-8+deb7u4.

Nous vous recommandons de mettre à jour vos paquets openvpn.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.