Risque
- Atteinte à la confidentialité des données
Systèmes affectés
- Navigateurs Web employant SSLv3, dont Internet Explorer, Firefox et Chrome.
- Toutes les implémentations du protocole SSLv3 ;
Résumé
Une vulnérabilité a été découverte dans la version 3 du protocole SSL permettant de sécuriser les connexions entre clients et serveurs. Elle permet à un attaquant de provoquer une atteinte à la confidentialité des données, par exemple de récupérer un cookie de session HTTPS.
Solution
L'exploitation de la vulnérabilité est basée sur la négociation protocolaire entre le client et le serveur. Le client force le serveur à utiliser SSLv3 qui est une ancienne version du protocole SSL/TLS. L'attaquant sera en mesure de déchiffrer une partie du trafic réseau vers des sites sécurisés et de récupérer des cookies de session HTTPS.
Le CERTFR recommande la désactivation du support du protocole SSLv3 au sein de tout logiciel l'implémentant.
Il est possible de configurer les navigateurs afin de les empêcher d'utiliser cette version du protocole :
- pour Internet Explorer, aller dans les "options internet" puis dans l'onglet "Avancé", dans la liste déroulante, décocher la case "SSL 3.0" ;
- pour Firefox (fonctionne aussi pour Thunderbird), dans la barre d'adresse, taper "about:config" puis rechercher "security.tls.version.min" et changer sa valeur à 1 ;
Pour les applications basées sur l'API Cryptographique de Windows (CAPI), il est possible de modifier la clé de registre suivante :
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\
Protocols\SSL 3.0\Client] "Enabled"=dword:00000000
Documentation
- Bulletin de sécurité du 14 octobre 2014 https://www.openssl.org/~bodo/ssl-poodle.pdf
- Référence CVE CVE-2014-3566 https://www.cve.org/CVERecord?id=CVE-2014-3566
