Ce que vous devez savoir à propos des deux failles de sécurité corrigées dans OpenSSL

La semaine dernière, l'équipe d'OpenSSL avait annoncé la couleur : une faille de sécurité critique sera corrigée le 1er novembre 2022 ! Désormais, OpenSSL 3.0.7 est disponible et cette version corrige deux failles de sécurité avec un risque élevé ! Faisons le point.

Ces deux failles de sécurité critiques, associées aux références CVE-2022-3602 et CVE-2022-3786, affectent uniquement OpenSSL 3.0.0 et les versions supérieures. Certains produits s'appuient sur OpenSSL, mais via la branche 1.X, et dans ce cas, ils ne sont pas concernés par ces deux vulnérabilités. Pour ceux qui utilisent une version 3.0.X d'OpenSSL, il est nécessaire de passer sur la version 3.0.7 dès que possible.

En résumé, il faut retenir :

  • Les versions d'OpenSSL de 3.0.0 à 3.0.6 sont vulnérables
  • Les versions d'OpenSSL 1.1.1 et 1.0.2 ne sont pas affectées
  • Les utilisateurs d'OpenSSL 3.0 doivent migrer vers OpenSSL 3.0.7

Voici quelques informations supplémentaires sur ces deux vulnérabilités :

  • CVE-2022-3602 - Vulnérabilité buffer overflow "4 octets" dans le processus de vérification du certificat X.509 - Peut mener à un déni de service ou une exécution de code à distance
  • CVE-2022-3786 - Vulnérabilité buffer overflow "longueur de variable" le processus de vérification du certificat X.509 - Peut mener à un déni de service

A en croire le bulletin de sécurité d'OpenSSL, un attaquant peut exploiter ces vulnérabilités en utilisant une adresse e-mail malveillante au niveau du certificat. Dans ce cas, c'est le client qui visite le site Web où est mis en place le certificat qui peut être impacté directement. "Avec un client TLS, cela peut être déclenché par la connexion à un serveur malveillant. Avec un serveur TLS, cela peut être déclenché si le serveur demande l'authentification du client et qu'un client malveillant se connecte."

Faut-il s'inquiéter ?

Lorsque l'équipe d'OpenSSL a publié son alerte il y a quelques jours, la vulnérabilité était considérée comme critique. Désormais, l'impact semble plus limité et pour preuve, ces deux vulnérabilités ont un niveau de criticité élevé, et non critique. À ce jour, il existe au moins un exploit PoC public, mais il permet de crasher le système vulnérable, et non pas d'exécuter du code à distance.

Pour le moment, OpenSSL 3.0 n'est pas beaucoup utilisé et l'impact serait beaucoup plus important si les versions 1.1.1 et 1.0.2 étaient concernées. Ce n'est pas le cas, et c'est tant mieux. Le site Wiz.io parle de ces nouvelles vulnérabilités dans un article de blog et il y a également un graphique intéressant qui montre bien cette tendance sur l'utilisation des différentes versions.

OpenSSL - Utilisation des versions
Source : Wiz.io

Enfin, si vous utilisez une distribution Linux telle que Debian, Ubuntu, Kali Linux ou encore Fedora, pensez à vérifier si une mise à jour d'OpenSSL est disponible sur votre système.

Source

Partagez cet article Partager sur Twitter Partager sur Facebook Partager sur Linkedin Partager sur Google+ Envoyer par mail

Florian Burnel

Ingénieur système et réseau, cofondateur d'IT-Connect et Microsoft MVP "Cloud and Datacenter Management". Je souhaite partager mon expérience et mes découvertes au travers de mes articles. Généraliste avec une attirance particulière pour les solutions Microsoft et le scripting. Bonne lecture.

florian has 4244 posts and counting.See all posts by florian

One thought on “Ce que vous devez savoir à propos des deux failles de sécurité corrigées dans OpenSSL

  • La conclusion est étrange. Debian n’est pas concerné, pourquoi y aurait-il une mise à jour?

    Répondre

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.