Avis du CERT-FR
Objet : Vulnérabilité dans OpenSSL
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Contournement de la politique de sécurité
Systèmes affectés
- OpenSSL pour les versions antérieures à 0.9.8j.
Résumé
Une vulnérabilité a été identifiée dans OpenSSL. Elle permet à un site malveillant de contourner la vérification de la signature par le poste de l'utilisateur.
Description
Une vulnérabilité a été identifiée dans OpenSSL. Plusieurs fonctions ne vérifient pas correctement le retour de la fonction EVP_VerifyFinal() pour des signatures avec clés DSA ou ECDSA. Une mauvaise signature est alors considérée comme bonne.
Cette vulnérabilité peut être exploitée pour contourner la vérification de la signature par le client, dans le cas où la personne malveillante administre un site malveillant ou utilise une attaque de la forme homme-au-milieu.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité OpenSSL du 07 janvier 2009 :
http://www.openssl.org/news/secadv_20090107.txt -
Référence CVE CVE-2008-5077
https://www.cve.org/CVERecord?id=CVE-2008-5077
Gestion détaillée du document
| Date | Description |
|---|---|
| 07 janvier 2009 | version initiale. |