S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 06 novembre 2009
N° CERTA-2009-AVI-482-011
Affaire suivie par: CERT-FR
le 06 novembre 2009

Avis du CERT-FR

Objet: Vulnérabilité du protocole SSL/TLS

Gestion du document

Référence CERTA-2009-AVI-482-011
Titre Vulnérabilité du protocole SSL/TLS
Date de la première version 06 novembre 2009
Date de la dernière version 29 novembre 2010
Source(s) -
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Contournement de la politique de sécurité.

Systèmes affectés

  • OpenSSL versions antérieures à 0.9.8l ;
  • Sun Java Enterprise System Suite (voir le bulletin de sécurité Sun du 11 janvier 2010) ;
  • IBM WebSphere DataPower SOA appliances (voir le bulletin de sécurité IBM du 11 janvier 2010) ;
  • IBM multiples implémentations de SSL/TLS (voir le bulletin de sécurité IBM du 13 janvier 2010).

D'autres implémentations du protocole sont probablement touchées, ainsi que des applications utilisant OpenSSL.

Résumé

Une vulnérabilité dans le protocole SSL/TLS permet à une personne malintentionnée de contourner la politique de sécurité.

Description

Une vulnérabilité a été identifiée dans le protocole SSL/TLS lors de renégociations de sessions. Une personne s'étant au préalable mise en situation « d'homme au milieu » (man in the middle) peut, dans certaines circonstances, injecter des données à l'encontre d'un utilisateur, pour, par exemple, forcer l'envoi d'une requête HTTP au serveur vers lequel la victime se connecte.

Solution

La version 0.9.8l de OpenSSL désactive la renégociation de sessions par défaut.

Documentation

Gestion détaillée du document

    le 06 novembre 2009
    version initiale.
    le 27 novembre 2009
    ajout du bulletin de sécurité Sun du 19 novembre 2009.
    le 11 janvier 2010
    ajout du bulletin de sécurité Sun du 11 janvier 2010.
    le 13 janvier 2010
    ajout du bulletin de sécurité IBM du 11 janvier 2010.
    le 14 janvier 2010
    ajout du bulletin de sécurité IBM du 13 janvier 2010.
    le 27 janvier 2010
    ajout des bulletins de sécurité IBM du 22 et 27 janvier 2010.
    le 04 mars 2010
    ajout des bulletins de sécurité Apple, Bluecoat, Cisco, Debian, Fedora, Gentoo, openBSD, ProFTPd, RedHat et Suse.
    le 26 mars 2010
    ajout des bulletins de sécurité RedHat et de la référence CVE-2009-3245.
    le 19 mai 2010
    ajout des bulletins de sécurité HP.
    le 29 juillet 2010
    ajout du bulletin Cisco.
    le 11 août 2010
    ajout du bulletin Microsoft.
    le 29 novembre 2010
    ajout du bulletin IBM WebSphere MQ.