Risques

  • Atteinte à la confidentialité des données
  • Exécution de code arbitraire à distance

Systèmes affectés

OpenSSL, versions 0.9.8d et précédentes.

Résumé

Deux vulnérabilités affectent OpenSSL. La première permet à un utilisateur malveillant d'accéder à des données sensibles. La seconde permettrait à un utilisateur malveillant d'exécuter du code arbitraire à distance.

Description

Une erreur entache l'implantation de l'algorithme de multiplication avec réduction modulaire de Montgomery. Cette erreur permet à un utilisateur malveillant de reconstruire la clé secrète utilisée.

Un défaut de vérification de taille de tampon mémoire existe dans la fonction SSL_get_shared_ciphers. Cette vulnérabilité permet à un utilisateur malveillant de provoquer un déni de service et lui permettrait d'exécuter du code arbitraire à distance.

Solution

La version 0.9.8-stable corrige ces problèmes. Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation