Dans le digest de cette semaine, nous aborderons les points suivants :
- un avis de sécurité OpenSSL ;
- une double vulnérabilité libre dans le serveur OpenSSH ; et
- mauvaise gestion des sessions dans Pi-hole Web.
Avis de sécurité OpenSSL
OpenSSL est une boîte à outils pour la cryptographie générale et la communication sécurisée.
Confusion de type d'adresse X.400 dans X.509 GeneralName (CVE-2023-0286)
Vulnérabilité
Cette vulnérabilité résulte d'une confusion de type entre ANS1_STRING et ANS1_TYPE pour le champ x400Address lors de l'analyse des adresses X.400. Sous certaines conditions, un attaquant peut pousser des pointeurs arbitraires vers memcmp, ce qui lui permet de lire dans la mémoire, ou de réaliser une attaque par déni de service.
OpenSSL 3.0, 1.1.1 et 1.0.2 sont vulnérables à ce problème. Cette vulnérabilité a reçu un niveau de gravité élevé.
Atténuation
L'avis d'OpenSSL recommande aux utilisateurs de la version 3.0 de passer à la version 3.0.8 d'OpenSSL et aux utilisateurs de la version 1.0 de passer à la version 1.1.1t d'OpenSSL.
Oracle de synchronisation dans le décryptage RSA (CVE-2022-4304)
Vulnérabilité
L'implémentation du décryptage RSA dans OpenSSL était vulnérable à une attaque qui affectait tous les modes de remplissage RSA (PKCS#1 v1.5, RSA-OEAP et RSASVE) et pouvait permettre à un attaquant de décrypter le trafic.
OpenSSL 3.0, 1.1.1 et 1.0.2 sont vulnérables à ce problème. Cette vulnérabilité a été classée dans la catégorie "gravité modérée".
Atténuation
L'avis d'OpenSSL recommande aux utilisateurs de la version 3.0 de passer à la version 3.0.8 d'OpenSSL et aux utilisateurs de la version 1.0 de passer à la version 1.1.1t d'OpenSSL.
Débordement du tampon de lecture des contraintes de nom X.509 (CVE-2022-4203)
Vulnérabilité
L'implémentation X.509 dans OpenSSL était vulnérable à un débordement de mémoire tampon lors du traitement d'un certificat malveillant signé, ce qui pouvait conduire à un déni de service ou, théoriquement, à des fuites de mémoire privée.
Les versions 3.0.0 à 3.0.7 d'OpenSSL sont vulnérables à ce problème. Cette vulnérabilité a reçu une sévérité modérée.
Atténuation
L'avis d'OpenSSL recommande aux utilisateurs de la version 3.0 de passer à la version 3.0.8 d'OpenSSL.
Utilisation sans suite suite à BIO_new_NDEF (CVE-2023-0215)
Vulnérabilité
De nombreuses fonctions publiques de API appelaient des fonctions d'aide non sûres, ce qui, dans certaines conditions, entraînait des plantages. On pense que cela pourrait être utilisé pour créer une attaque par déni de service. OpenSSL 3.0, 1.1.1 et 1.0.2 sont vulnérables à ce problème.
Les applications en ligne de commande OpenSSL cms et smime sont également affectées. Cette vulnérabilité a été classée dans la catégorie "gravité modérée".
Atténuation
L'avis d'OpenSSL recommande aux utilisateurs de la version 3.0 de passer à la version 3.0.8 d'OpenSSL et aux utilisateurs de la version 1.0 de passer à la version 1.1.1t d'OpenSSL.
Double libération après l'appel à PEM_read_bio_ex (CVE-2022-4450)
Vulnérabilité
Une fonction d'OpenSSL qui génère des arguments d'en-tête et de données contient une erreur d'implémentation qui pourrait conduire à la libération d'un tampon deux fois, provoquant un crash. Si cette erreur est exploitée par un attaquant, elle peut conduire à un déni de service. Cette fonction est appelée par un certain nombre d'autres fonctions d'OpenSSL, ce qui augmente la surface d'attaque.
OpenSSL 3.0 et 1.1.1 sont vulnérables à ce problème. L'application en ligne de commande OpenSSL asn1parse est également concernée par ce problème. Cette vulnérabilité a reçu une sévérité modérée.
Atténuation
L'avis d'OpenSSL recommande aux utilisateurs de la version 3.0 de passer à la version 3.0.8 d'OpenSSL et aux utilisateurs de la version 1.0 de passer à la version 1.1.1t d'OpenSSL.
Déréférence de pointeur invalide dans les fonctions d2i_PKCS7 (CVE-2023-0216)
Vulnérabilité
Un déréférencement de pointeur invalide lors de la lecture peut être déclenché lorsqu'une application tente de charger des données PKCS7 malformées dans certaines fonctions. Cela peut conduire à une attaque par déni de service.
Les versions 3.0.0 à 3.0.7 d'OpenSSL sont vulnérables à ce problème. Cette vulnérabilité a reçu une sévérité modérée.
Atténuation
L'avis d'OpenSSL recommande aux utilisateurs de la version 3.0 de passer à la version 3.0.8 d'OpenSSL.
Déréférence NULL lors de la validation de la clé publique DSA (CVE-2023-0217)
Vulnérabilité
Un déréférencement de pointeur invalide en lecture peut être déclenché lorsqu'une application tente de charger une clé publique DSA malformée dans certaines fonctions. Cela peut conduire à une attaque par déni de service.
Les versions 3.0.0 à 3.0.7 d'OpenSSL sont vulnérables à ce problème. Cette vulnérabilité a reçu une sévérité modérée.
Atténuation
L'avis d'OpenSSL recommande aux utilisateurs de la version 3.0 de passer à la version 3.0.8 d'OpenSSL.
Déréférence NULL lors de la vérification des données PKCS7 (CVE-2023-0401)
Vulnérabilité
Un pointeur NULL peut être déréférencé lors de la vérification de signatures sur PKCS7 signées, ce qui peut conduire à un crash lorsque l'algorithme est connu d'OpenSSL, mais que l'implémentation ne l'est pas. Ceci pourrait être exploité par des attaquants pour faciliter une attaque par déni de service.
Les versions 3.0.0 à 3.0.7 d'OpenSSL sont vulnérables à ce problème. Cette vulnérabilité a reçu une sévérité modérée.
Atténuation
L'avis d'OpenSSL recommande aux utilisateurs de la version 3.0 de passer à la version 3.0.8 d'OpenSSL et aux utilisateurs de la version 1.0 de passer à la version 1.1.1t d'OpenSSL.
Vulnérabilité double libre dans le serveur OpenSSH
OpenSSH Server est un outil qui vous permet de créer en toute sécurité une session de terminal à distance.
Vulnérabilité
La vulnérabilité CVE-2023-25136 dans OpenSSH est due au fait que la mémoire est libérée deux fois. Cela se produit avant l'authentification, mais l'exécution de code à distance n'est pas considérée comme exploitable, en partie parce que le processus contenant la vulnérabilité est également soumis au sandboxing. Il existe des preuves de concepts qui démontrent une attaque par déni de service.
La version 9.1 du serveur OpenSSH est vulnérable à ce problème. Cette vulnérabilité a été classée dans la catégorie "gravité moyenne".
Atténuation
Qualys conseille aux utilisateurs de passer à la version 9.2 d'OpenSSH pour atténuer cette vulnérabilité.
Gestion incorrecte des sessions dans Pi-hole Web
Pi-hole Web est l'utilitaire web utilisé pour interagir avec pihole, une implémentation du serveur DNS avec blocage intégré des publicités et des domaines malveillants.
Vulnérabilité
L'utilisateur PromoFaux de GitHub a signalé la CVE-2023-23614 dans un avis de sécurité de GitHub. La vulnérabilité provient d'une pull request qui a introduit une fonctionnalité permettant de rester connecté pendant sept jours. La fonctionnalité était implémentée en stockant le hachage du mot de passe de l'utilisateur dans un cookie qui pourrait permettre à un attaquant de voler le hachage de l'utilisateur s'il était volé. Ce hachage pouvait être utilisé pour créer de nouveaux cookies avec un délai d'expiration arbitraire et fonctionnait jusqu'à ce que l'utilisateur concerné change son mot de passe.
Cette vulnérabilité affecte les versions 4.0 - 5.18.2 de Pi-hole Web. Cette vulnérabilité a reçu une sévérité élevée.
Atténuation
Les développeurs recommandent aux utilisateurs de Pi-hole Web de passer à la version 5.18.3 ou à une version plus récente.
Commentaires