Bulletin d'alerte Debian
DSA-3626-1 openssh -- Mise à jour de sécurité
- Date du rapport :
- 24 juillet 2016
- Paquets concernés :
- openssh
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Dans le système de suivi des bogues Debian : Bogue 831902.
Dans le dictionnaire CVE du Mitre : CVE-2016-6210. - Plus de précisions :
-
Eddie Harari a signalé que le démon SSH OpenSSH permet une énumération d'utilisateurs à travers une différence de temps lors de tentatives d'authentification d'utilisateurs. Lorsque sshd tente d'authentifier un utilisateur qui n'existe pas, il reprend une structure fixe de faux mot de passe avec un hachage basé sur l'algorithme Blowfish. Si des mots de passe d'utilisateurs réels sont chiffrés avec SHA256 ou SHA512, alors, un attaquant distant peut tirer avantage de ce défaut en envoyant de longs mots de passe, recevant du serveur des temps de réponse plus courts pour des utilisateurs qui n'existent pas.
Pour la distribution stable (Jessie), ce problème a été corrigé dans la version 1:6.7p1-5+deb8u3.
Pour la distribution unstable (Sid), ce problème a été corrigé dans la version 1:7.2p2-6.
Nous vous recommandons de mettre à jour vos paquets openssh.