L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base de données de vigilance et des outils pour y remédier.

Vulnérabilité de OpenSSL : injection de données via OPENSSL_NO_BUF_FREELIST

Synthèse de la vulnérabilité 

Un attaquant peut établir une connexion avec une application multi-thread liée à OpenSSL avec OPENSSL_NO_BUF_FREELIST, afin d'éventuellement injecter des données dans la session d'un autre utilisateur.
Systèmes impactés : ArubaOS, ProxyAV, ProxySG par Blue Coat, SGOS par Blue Coat, Cisco ASR, Cisco ATA, Cisco ACE, ASA, AsyncOS, Cisco Catalyst, CiscoWorks, Cisco Content SMA, Cisco CSS, Cisco ESA, IOS par Cisco, IOS XE Cisco, IOS XR Cisco, Cisco IPS, IronPort Email, IronPort Management, IronPort Web, Nexus par Cisco, NX-OS, Prime Collaboration Assurance, Prime Collaboration Manager, Prime Infrastructure, Cisco PRSM, Cisco Router, Secure ACS, Cisco CUCM, Cisco Manager Attendant Console, Cisco Unified CCX, Cisco IP Phone, Cisco MeetingPlace, Cisco Wireless IP Phone, Unity Cisco, WebNS, Cisco WSA, Debian, Avamar, EMC CAVA, EMC CEE, EMC CEPA, Celerra FAST, Celerra NS, Celerra NX4, EMC CMDCE, Connectrix Switch, ECC, NetWorker, PowerPath, Unisphere EMC, VNX Operating Environment, VNX Series, BIG-IP Hardware, TMOS, Fedora, FortiAnalyzer, FortiAnalyzer Virtual Appliance, FortiClient, FortiManager, FortiManager Virtual Appliance, FreeBSD, ProCurve Switch, HP Switch, AIX, Juniper J-Series, Junos OS, Junos Pulse, Juniper Network Connect, Juniper UAC, McAfee Web Gateway, NetBSD, OpenBSD, OpenSSL, openSUSE, Solaris, pfSense, Polycom CMA, HDX, RealPresence Collaboration Server, Polycom VBP, RHEL, ACE Agent, ACE Server, RSA Authentication Agent, RSA Authentication Manager, SecurID, ROS, ROX, RuggedSwitch, SIMATIC, Slackware, stunnel, Ubuntu, ESXi, vCenter Server, VMware vSphere, VMware vSphere Hypervisor.
Gravité de cette alerte : 1/4.
Date de création : 14/04/2014.
Date de révision : 05/06/2014.
Références de cette alerte : 2167, aid-06062014, c04347622, CERTFR-2014-AVI-253, CERTFR-2014-AVI-254, CERTFR-2014-AVI-255, CERTFR-2014-AVI-260, CERTFR-2014-AVI-274, CERTFR-2014-AVI-279, CERTFR-2014-AVI-286, cisco-sa-20140605-openssl, CTX140876, CVE-2010-5298, DOC-53313, DSA-2908-1, FEDORA-2014-17576, FEDORA-2014-17587, FEDORA-2014-7101, FEDORA-2014-7102, FG-IR-14-018, FreeBSD-SA-14:09.openssl, HPSBHF03052, JSA10629, MDVSA-2014:090, MDVSA-2015:062, NetBSD-SA2014-006, openSUSE-SU-2014:0592-1, RHSA-2014:0625-01, RHSA-2014:0628-01, RHSA-2014:0679-01, SA40006, SA80, SB10075, SOL15328, SSA:2014-156-03, SSA-234763, USN-2192-1, VIGILANCE-VUL-14585, VMSA-2014-0006, VMSA-2014-0006.1, VMSA-2014-0006.10, VMSA-2014-0006.11, VMSA-2014-0006.2, VMSA-2014-0006.3, VMSA-2014-0006.4, VMSA-2014-0006.5, VMSA-2014-0006.6, VMSA-2014-0006.7, VMSA-2014-0006.8, VMSA-2014-0006.9.

Description de la vulnérabilité 

Le produit OpenSSL utilise une implémentation propriétaire de malloc() pour gérer la mémoire.

Cependant, lorsque cette fonctionnalité est désactivée avec OPENSSL_NO_BUF_FREELIST, une zone mémoire n'est pas libérée, et la fonction ssl3_setup_read_buffer() peut, en mode multi-thread, réutiliser des données d'une autre session SSL.

Un attaquant peut donc établir une connexion avec une application multi-thread liée à OpenSSL avec OPENSSL_NO_BUF_FREELIST, afin d'éventuellement injecter des données dans la session d'un autre utilisateur.
Bulletin complet, filtrage par logiciel, emails, correctifs, ... (Demandez votre essai gratuit)

Cet avis sécurité concerne les logiciels ou systèmes comme ArubaOS, ProxyAV, ProxySG par Blue Coat, SGOS par Blue Coat, Cisco ASR, Cisco ATA, Cisco ACE, ASA, AsyncOS, Cisco Catalyst, CiscoWorks, Cisco Content SMA, Cisco CSS, Cisco ESA, IOS par Cisco, IOS XE Cisco, IOS XR Cisco, Cisco IPS, IronPort Email, IronPort Management, IronPort Web, Nexus par Cisco, NX-OS, Prime Collaboration Assurance, Prime Collaboration Manager, Prime Infrastructure, Cisco PRSM, Cisco Router, Secure ACS, Cisco CUCM, Cisco Manager Attendant Console, Cisco Unified CCX, Cisco IP Phone, Cisco MeetingPlace, Cisco Wireless IP Phone, Unity Cisco, WebNS, Cisco WSA, Debian, Avamar, EMC CAVA, EMC CEE, EMC CEPA, Celerra FAST, Celerra NS, Celerra NX4, EMC CMDCE, Connectrix Switch, ECC, NetWorker, PowerPath, Unisphere EMC, VNX Operating Environment, VNX Series, BIG-IP Hardware, TMOS, Fedora, FortiAnalyzer, FortiAnalyzer Virtual Appliance, FortiClient, FortiManager, FortiManager Virtual Appliance, FreeBSD, ProCurve Switch, HP Switch, AIX, Juniper J-Series, Junos OS, Junos Pulse, Juniper Network Connect, Juniper UAC, McAfee Web Gateway, NetBSD, OpenBSD, OpenSSL, openSUSE, Solaris, pfSense, Polycom CMA, HDX, RealPresence Collaboration Server, Polycom VBP, RHEL, ACE Agent, ACE Server, RSA Authentication Agent, RSA Authentication Manager, SecurID, ROS, ROX, RuggedSwitch, SIMATIC, Slackware, stunnel, Ubuntu, ESXi, vCenter Server, VMware vSphere, VMware vSphere Hypervisor.

Notre équipe Vigil@nce a déterminé que la gravité de cette alerte sécurité est faible.

Le niveau de confiance est de type confirmé par l'éditeur, avec une provenance de client internet.

Un attaquant avec un niveau de compétence expert peut exploiter cette vulnérabilité.

Solutions pour cette menace 

OpenSSL : version 1.0.1h.
La version 1.0.1h est corrigée :
  http://www.openssl.org/

OpenSSL : version 1.0.0m.
La version 1.0.0m est corrigée :
  http://www.openssl.org/

OpenSSL : patch pour OPENSSL_NO_BUF_FREELIST.
Un patch est disponible dans les sources d'information.

pfSense : version 2.1.3.
La version 2.1.3 est corrigée :
  https://www.pfsense.org/

stunnel : version 5.02.
La version 5.02 est corrigée :
  https://www.stunnel.org/downloads.html

AIX : patch pour openssl.
Un patch est disponible :
  https://www14.software.ibm.com/webapp/iwm/web/preLogin.do?source=aixbp
  openssl-1.0.1.503.tar.Z

Aruba : solution pour OpenSSL.
La solution est indiquée dans les sources d'information.

Blue Coat : solution pour OpenSSL.
La solution est indiquée dans les sources d'information.

Cisco : solution pour OpenSSL.
La solution est indiquée dans les sources d'information.
Les produits vulnérables sont listés dans les sources d'informations.

Debian : nouveaux paquetages openssl.
De nouveaux paquetages sont disponibles :
  Debian 7 : openssl 1.0.1e-2+deb7u7

EMC : solution pour OpenSSL.
La solution est indiquée dans les sources d'information.

F5 BIG-IP : versions corrigées pour OPENSSL_NO_BUF_FREELIST.
Les versions corrigées sont indiquées dans les sources d'information.

Fedora : nouveaux paquetages mingw-openssl.
De nouveaux paquetages sont disponibles :
  Fedora 20 : mingw-openssl 1.0.1j-1.fc20
  Fedora 21 : mingw-openssl 1.0.1j-1.fc21

Fedora : nouveaux paquetages openssl.
De nouveaux paquetages sont disponibles :
  Fedora 19 : openssl 1.0.1e-38.fc19
  Fedora 20 : openssl 1.0.1e-38.fc20

Fortinet : solution pour OpenSSL.
La solution est indiquée dans les sources d'information.

FreeBSD : patch pour OpenSSL.
Un patch est disponible dans les sources d'information.

HP : solution pour OpenSSL.
La solution est indiquée dans les sources d'information.

Juniper : solution pour OpenSSL.
La solution est indiquée dans les sources d'information.

Mandriva BS2 : nouveaux paquetages openssl.
De nouveaux paquetages sont disponibles :
  Mandriva BS2 : openssl 1.0.1m-1.mbs2

Mandriva BS : nouveaux paquetages openssl.
De nouveaux paquetages sont disponibles :
  Mandriva BS1 : openssl 1.0.0k-1.4.mbs1

McAfee Web Gateway : patch pour OpenSSL.
Un patch est disponible dans les sources d'information.

NetBSD : patch pour OpenSSL.
Un patch est disponible dans les sources d'information.

OpenBSD : patch pour FREELIST.
Un patch est disponible :
  http://ftp.openbsd.org/pub/OpenBSD/patches/5.3/common/015_openssl.patch
  http://ftp.openbsd.org/pub/OpenBSD/patches/5.4/common/008_openssl.patch
  http://ftp.openbsd.org/pub/OpenBSD/patches/5.5/common/004_openssl.patch.sig

openSUSE : nouveaux paquetages openssl.
De nouveaux paquetages sont disponibles :
  openSUSE 12.3 : openssl 1.0.1g-1.52.1
  openSUSE 13.1 : openssl 1.0.1g-11.40.1

Polycom Converged Management Application : version 5.2.6.
La version 5.2.6 est corrigée.

Polycom HDX : version 3.1.5.
La version 3.1.5 est corrigée.

Polycom RMX 1800/Collaboration Server : version 8.4.1.
La version 8.4.1 est corrigée.

Polycom Video Border Proxy : version 11.2.18.
La version 11.2.18 est corrigée.

Red Hat Storage Server 2.1 : nouveaux paquetages openssl.
De nouveaux paquetages sont disponibles :
  RHEL 6 : openssl 1.0.1e-16.el6_5.14

RHEL 6.5 : nouveaux paquetages openssl.
De nouveaux paquetages sont disponibles :
  RHEL 6 : openssl 1.0.1e-16.el6_5.14

RHEL 7.0 : nouveaux paquetages openssl.
De nouveaux paquetages sont disponibles :
  RHEL 7 : openssl 1.0.1e-34.el7_0.3

Siemens : solution pour OpenSSL.
La solution est indiquée dans les sources d'information.

Slackware : nouveaux paquetages openssl.
De nouveaux paquetages sont disponibles :
  Slackware 13.0 : openssl 0.9.8za-i486-1_slack13.0
  Slackware 13.1 : openssl 0.9.8za-i486-1_slack13.1
  Slackware 13.37 : openssl 0.9.8za-i486-1_slack13.37
  Slackware 14.0 : openssl 1.0.1h-i486-1_slack14.0
  Slackware 14.1 : openssl 1.0.1h-i486-1_slack14.1

Solaris : version 11.1.20.5.0.
La version 11.1.20.5.0 est corrigée :
  https://support.oracle.com/rs?type=doc&id=1683966.1

Ubuntu : nouveaux paquetages libssl1.0.0.
De nouveaux paquetages sont disponibles :
  Ubuntu 14.04 LTS : libssl1.0.0 1.0.1f-1ubuntu2.1
  Ubuntu 13.10 : libssl1.0.0 1.0.1e-3ubuntu1.3
  Ubuntu 12.10 : libssl1.0.0 1.0.1c-3ubuntu2.8
  Ubuntu 12.04 LTS : libssl1.0.0 1.0.1-4ubuntu5.13

VMware : solution pour OpenSSL.
La solution est indiquée dans les sources d'information.
Bulletin complet, filtrage par logiciel, emails, correctifs, ... (Demandez votre essai gratuit)

Service de veille sur les vulnérabilités informatiques 

Vigil@nce fournit un patch de vulnérabilité applicative. Le service de veille sur les vulnérabilités informatiques Vigil@nce alerte vos équipes des failles et des menaces qui concernent votre système d'information.