L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base de données de vigilance et des outils pour y remédier.

Vulnérabilité de Noyau Linux : lecture de mémoire non accessible via x509_decode_time

Synthèse de la vulnérabilité 

Un attaquant peut forcer la lecture à une adresse invalide dans la fonction x509_decode_time() du noyau Linux, afin de mener un déni de service.
Logiciels impactés : Linux.
Gravité de cette vulnérabilité informatique : 1/4.
Date de création : 27/11/2015.
Références de cette annonce : CVE-2015-5327, VIGILANCE-VUL-18388.

Description de la vulnérabilité 

Le noyau Linux implémente des fonctionnalités cryptographiques.

La fonction x509_decode_time() du fichier crypto/asymmetric_keys/x509_cert_parser.c décode les heures indiquées dans un certificat X.509. Cependant, si le numéro du mois est trop grand, cette fonction cherche à lire une zone mémoire qui n'est pas accessible, ce qui provoque une erreur fatale.

Un attaquant peut donc forcer la lecture à une adresse invalide dans la fonction x509_decode_time() du noyau Linux, afin de mener un déni de service.
Bulletin complet, filtrage par logiciel, emails, correctifs, ... (Demandez votre essai gratuit)

Cette menace sécurité concerne les logiciels ou systèmes comme Linux.

Notre équipe Vigil@nce a déterminé que la gravité de cet avis de faille est faible.

Le niveau de confiance est de type confirmé par l'éditeur, avec une provenance de document.

Un démonstrateur ou un outil d'attaque est disponible, donc vos équipes doivent traiter cette alerte. Un attaquant avec un niveau de compétence spécialiste peut exploiter cet avis de vulnérabilité.

Solutions pour cette menace 

Noyau Linux : version 4.3.2.
La version 4.3.2 est corrigée :
  https://cdn.kernel.org/pub/linux/kernel/v4.x/

Noyau Linux : patch pour x509_decode_time.
Un patch est indiqué dans les sources d'information.
Bulletin complet, filtrage par logiciel, emails, correctifs, ... (Demandez votre essai gratuit)

Service de veille sur les vulnérabilités informatiques 

Vigil@nce fournit des annonces cybersécurité. L'équipe Vigil@nce surveille les vulnérabilités informatiques de systèmes et d'applications.