OpenSSL patch des failles de déni de service et de validation de certificat

0

Le projet OpenSSL a publié un avis pour deux vulnérabilités de grande gravité (CVE-2021-3449 et CVE-2021-3450) qui rôdent dans les produits OpenSSL.

OpenSSL est une bibliothèque logicielle couramment utilisée pour la création d’applications de réseautage et de serveurs qui doivent établir des communications sécurisées.

Ces vulnérabilités sont :

  • CVE-2021-3449: Une faille de déni de service due au report du pointeur NULL qui n’affecte que les instances serveur OpenSSL, et non les clients.
  • CVE-2021-3450: Une vulnérabilité de validation de certificat incorrecte de l’Autorité des certificats (CA) qui a une incidence à la fois sur le serveur et sur les instances client.

Une vulnérabilité de déni de service patchée par une ligne

La vulnérabilité de déni de service (CVE-2021-3449) dans le serveur TLS OpenSSL peut provoquer le plantage du serveur si, au cours de la renégociation, le client envoie un message ClientHello malveillant.

« Si une renégociation TLSv1.2 ClientHello omet l’extension signature_algorithms (où il était présent dans le ClientHello initial), mais inclut une extension de signature_algorithms_cert, une déférence du pointeur NULL en résultera, conduisant à un accident et une attaque par déni de service », indique l’avis.

La vulnérabilité n’affecte que les serveurs OpenSSL exécutant des versions entre 1.1.1 et 1.1.1j (tous deux inclus) qui ont à la fois activée TLSv1.2 et la renégociation.

Toutefois, comme il s’agit de la configuration par défaut de ces versions de serveur OpenSSL, de nombreux serveurs actifs pourraient être potentiellement vulnérables. Les clients ne sont pas touchés.

Heureusement, tout ce qu’il a fallu pour corriger ce bug de déni de service était un correctif d’un revêtement, qui remettait le réglage peer_sigalgslen à zéro.

openssl

La vulnérabilité a été découverte par les ingénieurs Peter Kästle et Samuel Sapalski de Nokia, qui a également offert le correctif ci-dessus.

Des problèmes de certificats

La vulnérabilité de contournement de validation de certificat de l’Autorité des certificats (CA), CVE-2021-3450, est liée au flag de sécurité X509_V_FLAG_X509_STRICT.

Ce flag est utilisé par OpenSSL pour interdire l’utilisation de solutions de contournement pour les certificats cassés et exige strictement que les certificats soient vérifiés par rapport aux règles X509.

Toutefois, en raison d’une faille de régression, les versions OpenSSL 1.1.1h et au-dessus (à l’exception de la version corrigée 1.1.1k) sont affectées par cette vulnérabilité, car ce flag n’est pas défini par défaut dans ces versions.

« À partir de OpenSSL version 1.1.1h une vérification pour interdire les certificats dans la chaîne qui a des paramètres de courbe elliptique explicitement codé a été ajouté comme un contrôle strict supplémentaire. »

« Une erreur dans la mise en œuvre de cette vérification a fait en sorte que le résultat d’une vérification antérieure pour confirmer que les certificats de la chaîne sont des certificats CA valides a été écrasé », indique l’avis.

En effet, cela signifie que les instances OpenSSL ne vérifient pas que les certificats non-CA ne doivent pas être les émetteurs d’autres certificats, ouvrant ainsi la possibilité pour les attaquants d’exploiter ce manque.

Le 18 mars 2021, Benjamin Kaduk d’Akamai a signalé cette faille au projet OpenSSL.

La vulnérabilité a été découverte par Xiang Ding et d’autres d’Akamai, avec un correctif ayant été développé par Tomáš Mráz.

Aucune des vulnérabilités n’a d’impact sur OpenSSL 1.0.2.

Les deux vulnérabilités sont corrigées dans OpenSSL 1.1.1k et il est conseillé aux utilisateurs de mettre à niveau vers cette version pour protéger leurs instances.

Les utilisateurs devraient donc se protéger contre des failles de sécurité comme celles-ci en appliquant les mises à jour en temps opportun.

Si cet article vous a plu, jetez un œil à notre article précédent.

Laisser un commentaire

Votre adresse email ne sera pas publiée.