alerte de vulnérabilité CVE-2009-3555

TLS, OpenSSL, GnuTLS : vulnérabilité de la renégociation

Synthèse de la vulnérabilité

Un attaquant distant peut exploiter une vulnérabilité de TLS pour insérer des données lors d'une renégociation via une attaque de type man-in-the-middle.
Produits concernés : Apache httpd, ArubaOS, BES, ProxySG, ASA, Cisco Catalyst, CiscoWorks, Cisco CSS, IOS, IOS XR, IronPort Email, IronPort Management, Secure ACS, Cisco CallManager, Cisco CUCM, Cisco IP Phone, WebNS, Cisco Router xx00 Series, XenApp, XenDesktop, XenServer, Debian, BIG-IP Appliance, Fedora, FreeBSD, HP-UX, AIX, WebSphere AS, IVE OS, Juniper J-Series, JUNOS, NSM Central Manager, NSMXpress, Mandriva Corporate, MES, Mandriva Linux, Mandriva NF, IIS, Windows 2000, Windows 2003, Windows 2008, Windows 7, Windows Vista, Windows XP, NetBSD, NetScreen Firewall, ScreenOS, NLD, OES, OpenBSD, OpenSolaris, OpenSSL, openSUSE, Oracle Directory Server, Oracle GlassFish Server, Oracle iPlanet Web Proxy Server, Oracle iPlanet Web Server, Solaris, Trusted Solaris, ProFTPD, SSL/TLS, RHEL, Slackware, Sun AS, SUSE Linux Enterprise Desktop, SLES, TurboLinux, Unix (plateforme), ESX.
Gravité : 2/4.
Date création : 10/11/2009.
Références : 1021653, 111046, 273029, 273350, 274990, 6898371, 6898539, 6898546, 6899486, 6899619, 6900117, 977377, AID-020810, BID-36935, c01945686, c01963123, c02079216, CERTA-2011-ALE-005, cisco-sa-20091109-tls, CTX123248, CTX123359, CVE-2009-3555, DSA-1934-1, DSA-2141-1, DSA-2141-2, DSA-2141-4, DSA-2626-1, FEDORA-2009-12229, FEDORA-2009-12305, FEDORA-2009-12606, FEDORA-2009-12750, FEDORA-2009-12775, FEDORA-2009-12782, FEDORA-2009-12968, FEDORA-2009-13236, FEDORA-2009-13250, FEDORA-2010-1127, FEDORA-2010-3905, FEDORA-2010-3929, FEDORA-2010-3956, FEDORA-2010-5357, FEDORA-2010-8742, FEDORA-2010-9487, FEDORA-2010-9518, FreeBSD-SA-09:15.ssl, HPSBUX02482, HPSBUX02498, HPSBUX02517, KB25966, MDVSA-2009:323, MDVSA-2009:337, MDVSA-2010:069, MDVSA-2010:076, MDVSA-2010:076-1, MDVSA-2010:089, MDVSA-2013:019, NetBSD-SA2010-002, openSUSE-SU-2010:1025-1, openSUSE-SU-2010:1025-2, openSUSE-SU-2011:0845-1, PM04482, PM04483, PM04534, PM04544, PM06400, PSN-2011-06-290, PSN-2012-11-767, RHSA-2009:1579-02, RHSA-2009:1580-02, RHSA-2010:0011-01, RHSA-2010:0119-01, RHSA-2010:0130-01, RHSA-2010:0155-01, RHSA-2010:0162-01, RHSA-2010:0163-01, RHSA-2010:0164-01, RHSA-2010:0165-01, RHSA-2010:0166-01, RHSA-2010:0167-01, SOL10737, SSA:2009-320-01, SSA:2010-067-01, SSRT090249, SSRT090264, SSRT100058, SUSE-SA:2009:057, SUSE-SA:2010:020, SUSE-SR:2010:008, SUSE-SR:2010:012, SUSE-SR:2011:008, SUSE-SU-2011:0847-1, TLSA-2009-30, TLSA-2009-32, VIGILANCE-VUL-9181, VMSA-2010-0015, VMSA-2010-0015.1, VMSA-2010-0019, VMSA-2010-0019.1, VMSA-2010-0019.2, VMSA-2010-0019.3, VU#120541.

Description de la vulnérabilité

Transport Layer Security (TLS) est un protocole cryptographique de transport réseau.

A l'ouverture d'une connexion utilisant TLS, un mécanisme de négociation permet au client et au serveur de se mettre d'accord sur l'algorithme de chiffrement a utiliser.

Le protocole autorise une renégociation à n'importe quel moment de la connexion. Cependant, la gestion de ces renégociations comporte une vulnérabilité.

Un attaquant distant peut donc exploiter cette vulnérabilité pour insérer des données via une attaque de type man-in-the-middle.
Bulletin Vigil@nce complet.... (accès gratuit)

Partagez ce bulletin

          

Service de veille sur les vulnérabilités informatiques

Vigil@nce fournit un bulletin de vulnérabilités informatiques. La veille sécurité Vigil@nce publie des bulletins de vulnérabilités pour les failles qui impactent le système d'information. L'équipe Vigil@nce surveille les vulnérabilités informatiques de systèmes et d'applications. La cellule de veille technologique suit les menaces sécurité qui ciblent le parc informatique.