L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base de données de vigilance et des outils pour y remédier.

Vulnérabilité de OpenSSL : lecture de mémoire hors plage prévue via TS_OBJ_print_bio

Synthèse de la vulnérabilité 

Un attaquant peut forcer la lecture à une adresse invalide via TS_OBJ_print_bio() de OpenSSL, afin de mener un déni de service, ou d'obtenir des informations sensibles.
Produits vulnérables : Blue Coat CAS, ProxyAV, ProxySG par Blue Coat, SGOS par Blue Coat, Cisco ASR, Cisco Aironet, Cisco ATA, Cisco AnyConnect Secure Mobility Client, Cisco ACE, ASA, AsyncOS, Cisco Catalyst, Cisco Content SMA, Cisco ESA, IOS par Cisco, IOS XE Cisco, IOS XR Cisco, Cisco IPS, Nexus par Cisco, NX-OS, Cisco Prime Access Registrar, Prime Collaboration Assurance, Cisco Prime DCNM, Prime Infrastructure, Cisco Prime LMS, Cisco Router, Secure ACS, Cisco CUCM, Cisco Manager Attendant Console, Cisco Unified CCX, Cisco IP Phone, Cisco MeetingPlace, Cisco Wireless IP Phone, Cisco WSA, Cisco Wireless Controller, Debian, BIG-IP Hardware, TMOS, Fedora, FileZilla Server, FortiAnalyzer, FortiAnalyzer Virtual Appliance, FortiGate, FortiGate Virtual Appliance, FortiOS, FreeBSD, FreeRADIUS, hMailServer, HP Switch, AIX, Tivoli Storage Manager, Tivoli Workload Scheduler, Juniper J-Series, Junos OS, Junos Space, NSM Central Manager, NSMXpress, McAfee Email Gateway, NetScreen Firewall, ScreenOS, Nodejs Core, OpenSSL, openSUSE, openSUSE Leap, Oracle Communications, Oracle Directory Server, Oracle Directory Services Plus, Oracle Fusion Middleware, Oracle GlassFish Server, Oracle Identity Management, Oracle iPlanet Web Server, Solaris, Tuxedo, WebLogic, Oracle Web Tier, pfSense, Pulse Connect Secure, Pulse Secure Client, Pulse Secure SBR, RHEL, SAS Add-in for Microsoft Office, SAS Analytics Pro, Base SAS Software, SAS BI Server, SAS Enterprise Guide, SAS Management Console, SAS OLAP Server, SAS SAS/ACCESS, SAS SAS/AF, SAS SAS/CONNECT, SAS SAS/EIS, SAS SAS/ETS, SAS SAS/FSP, SAS SAS/GRAPH, SAS SAS/IML, SAS SAS/OR, SAS SAS/STAT, SAS SAS/Web Report Studio, Slackware, Splunk Enterprise, stunnel, SUSE Linux Enterprise Desktop, SLES, Synology DS***, Synology RS***, Nessus, Ubuntu, WinSCP.
Gravité de cette faille : 1/4.
Date de création : 02/08/2016.
Références de ce bulletin : 1359615, 1996096, 2000095, 2003480, 2003620, 2003673, bulletinapr2017, bulletinjul2016, CERTFR-2016-AVI-333, cisco-sa-20160927-openssl, cpuapr2017, cpujan2018, cpuoct2017, CVE-2016-2180, DLA-637-1, DSA-3673-1, DSA-3673-2, FEDORA-2016-97454404fe, FEDORA-2016-a555159613, FG-IR-16-047, FG-IR-16-048, FG-IR-17-127, FreeBSD-SA-16:26.openssl, HPESBHF03856, JSA10759, openSUSE-SU-2016:2391-1, openSUSE-SU-2016:2407-1, openSUSE-SU-2018:0458-1, RHSA-2016:1940-01, SA132, SA40312, SB10215, SOL02652550, SP-CAAAPUE, SPL-129207, SSA:2016-266-01, SUSE-SU-2016:2387-1, SUSE-SU-2016:2394-1, SUSE-SU-2016:2469-1, TNS-2016-16, USN-3087-1, USN-3087-2, VIGILANCE-VUL-20286.

Description de la vulnérabilité 

Le produit OpenSSL implémente la RFC 3161 (Public Key Infrastructure Time-Stamp Protocol).

Cependant, la fonction TS_OBJ_print_bio() cherche à lire une zone mémoire située hors de la plage prévue, ce qui provoque une erreur fatale, ou permet de lire un fragment de la mémoire du processus.

Un attaquant peut donc forcer la lecture à une adresse invalide via TS_OBJ_print_bio() de OpenSSL, afin de mener un déni de service, ou d'obtenir des informations sensibles.
Bulletin complet, filtrage par logiciel, emails, correctifs, ... (Demandez votre essai gratuit)

Cette alerte de menace informatique concerne les logiciels ou systèmes comme Blue Coat CAS, ProxyAV, ProxySG par Blue Coat, SGOS par Blue Coat, Cisco ASR, Cisco Aironet, Cisco ATA, Cisco AnyConnect Secure Mobility Client, Cisco ACE, ASA, AsyncOS, Cisco Catalyst, Cisco Content SMA, Cisco ESA, IOS par Cisco, IOS XE Cisco, IOS XR Cisco, Cisco IPS, Nexus par Cisco, NX-OS, Cisco Prime Access Registrar, Prime Collaboration Assurance, Cisco Prime DCNM, Prime Infrastructure, Cisco Prime LMS, Cisco Router, Secure ACS, Cisco CUCM, Cisco Manager Attendant Console, Cisco Unified CCX, Cisco IP Phone, Cisco MeetingPlace, Cisco Wireless IP Phone, Cisco WSA, Cisco Wireless Controller, Debian, BIG-IP Hardware, TMOS, Fedora, FileZilla Server, FortiAnalyzer, FortiAnalyzer Virtual Appliance, FortiGate, FortiGate Virtual Appliance, FortiOS, FreeBSD, FreeRADIUS, hMailServer, HP Switch, AIX, Tivoli Storage Manager, Tivoli Workload Scheduler, Juniper J-Series, Junos OS, Junos Space, NSM Central Manager, NSMXpress, McAfee Email Gateway, NetScreen Firewall, ScreenOS, Nodejs Core, OpenSSL, openSUSE, openSUSE Leap, Oracle Communications, Oracle Directory Server, Oracle Directory Services Plus, Oracle Fusion Middleware, Oracle GlassFish Server, Oracle Identity Management, Oracle iPlanet Web Server, Solaris, Tuxedo, WebLogic, Oracle Web Tier, pfSense, Pulse Connect Secure, Pulse Secure Client, Pulse Secure SBR, RHEL, SAS Add-in for Microsoft Office, SAS Analytics Pro, Base SAS Software, SAS BI Server, SAS Enterprise Guide, SAS Management Console, SAS OLAP Server, SAS SAS/ACCESS, SAS SAS/AF, SAS SAS/CONNECT, SAS SAS/EIS, SAS SAS/ETS, SAS SAS/FSP, SAS SAS/GRAPH, SAS SAS/IML, SAS SAS/OR, SAS SAS/STAT, SAS SAS/Web Report Studio, Slackware, Splunk Enterprise, stunnel, SUSE Linux Enterprise Desktop, SLES, Synology DS***, Synology RS***, Nessus, Ubuntu, WinSCP.

Notre équipe Vigil@nce a déterminé que la gravité de cette faille est faible.

Le niveau de confiance est de type confirmé par l'éditeur, avec une provenance de document.

Un attaquant avec un niveau de compétence expert peut exploiter ce bulletin de vulnérabilité informatique.

Solutions pour cette menace 

OpenSSL : version 1.0.2i.
La version 1.0.2i est corrigée :
  https://www.openssl.org/source/openssl-1.0.2i.tar.gz

OpenSSL : version 1.0.1u.
La version 1.0.1u est corrigée :
  https://www.openssl.org/source/openssl-1.0.1u.tar.gz

OpenSSL : version 1.1.0a.
La version 1.1.0a est corrigée :
  https://www.openssl.org/source/openssl-1.1.0a.tar.gz

OpenSSL : patch pour TS_OBJ_print_bio.
Un patch est indiqué dans les sources d'information.

AIX : patch pour OpenSSL.
Un patch est disponible :
  https://www14.software.ibm.com/webapp/iwm/web/preLogin.do?source=aixbp
  openssl-1.0.1.517.tar.Z
  openssl-1.0.2.1000.tar.Z
  openssl-20.13.101.500.tar.Z
  openssl-20.13.102.1000.tar.Z

Blue Coat : solution pour OpenSSL.
La solution est indiquée dans les sources d'information.

Cisco : solution pour OpenSSL.
La solution est indiquée dans les sources d'information.

Comware : solution pour OpenSSL.
La solution est indiquée dans les sources d'information.

Debian 7 : nouveaux paquetages openssl.
De nouveaux paquetages sont disponibles :
  Debian 7 : openssl 1.0.1t-1+deb7u1

Debian : nouveaux paquetages openssl.
De nouveaux paquetages sont disponibles :
  Debian 8 : openssl 1.0.1t-1+deb8u5

F5 BIG-IP : solution pour OpenSSL.
La solution est indiquée dans les sources d'information.

Fedora : nouveaux paquetages openssl.
De nouveaux paquetages sont disponibles :
  Fedora 23 : openssl 1.0.2j-1.fc23
  Fedora 24 : openssl 1.0.2j-1.fc24

FileZilla Server : version 0.9.59.
La version 0.9.59 est corrigée :
  http://sourceforge.net/projects/filezilla/files/FileZilla%20Server/0.9.59/FileZilla_Server-0_9_59.exe/download

Fortinet FortiAnalyzer : version 5.4.2.
La version 5.4.2 est corrigée.

Fortinet FortiOS : version 5.6.0.
La version 5.6.0 est corrigée.

FreeBSD : patch pour openssl.
Un patch est indiqué dans les sources d'information.

FreeRADIUS : version 3.0.12.
La version 3.0.12 est corrigée :
  ftp://ftp.freeradius.org/pub/freeradius/freeradius-server-3.0.12.tar.bz2

FreeRADIUS : version 3.0.13.
La version 3.0.13 est corrigée :
  ftp://ftp.freeradius.org/pub/freeradius/freeradius-server-3.0.13.tar.bz2

hMailServer : version 5.6.6.
La version 5.6.6 est corrigée :
  https://www.hmailserver.com/download

IBM Cognos Analytics : solution.
La solution est indiquée dans les sources d'information.

IBM Spectrum Protect : versions 7.1.6.5 et 8.1.0.2.
Les versions 7.1.6.5 et 8.1.0.2 sont corrigées :
  Version 7.1.6.5 : http://www-01.ibm.com/support/docview.wss?uid=swg24042496
  Version 8.1.0.2 : http://www.ibm.com/support/docview.wss?uid=swg24043351

IBM Tivoli Workload Scheduler : patch pour OpenSSL.
Une référence de patch est indiquée dans les sources d'information pour chaque version prise en charge de Workload Scheduler.

Juniper : solution pour OpenSSL.
La solution est indiquée dans les sources d'information.

McAfee Email Gateway : patch pour OpenSSL.
Un patch est indiqué dans les sources d'information.

Node.js : versions 6.7.0, 4.6.0, 0.12.16, 0.10.47.
Les versions 6.7.0, 4.6.0, 0.12.16, 0.10.47 sont corrigées :
  https://nodejs.org/en/download/

openSUSE Leap : nouveaux paquetages openssl-steam.
De nouveaux paquetages sont disponibles :
  openSUSE Leap 42.3 : libopenssl1_0_0-steam 1.0.2k-4.3.1

openSUSE : nouveaux paquetages openssl.
De nouveaux paquetages sont disponibles :
  openSUSE 13.2 : openssl 1.0.1k-2.39.1
  openSUSE Leap 42.1 : openssl 1.0.1i-18.1

Oracle Communications : CPU de octobre 2017.
Un Critical Patch Update est disponible.

Oracle Fusion Middleware : CPU de avril 2017.
Un Critical Patch Update est disponible :
  https://support.oracle.com/rs?type=doc&id=2228898.1

Oracle Fusion Middleware : CPU de janvier 2018.
Un Critical Patch Update est disponible :
  https://support.oracle.com/rs?type=doc&id=2325393.1

Oracle Solaris : patch pour logiciels tiers de avril 2017 v1.
Un patch est disponible :
  https://support.oracle.com/rs?type=doc&id=1448883.1

pfSense : version 2.3.2-p1.
La version 2.3.2-p1 est corrigée :
  https://www.pfsense.org/download/

Pulse Secure : solution pour OpenSSL.
La solution est indiquée dans les sources d'information.

RHEL : nouveaux paquetages openssl.
De nouveaux paquetages sont disponibles :
  RHEL 6 : openssl 1.0.1e-48.el6_8.3
  RHEL 7 : openssl 1.0.1e-51.el7_2.7

SAS 9.4 : patch pour OpenSSL, Apache.
Un patch est disponible :
  http://support.sas.com/kb/59371.html

Slackware : nouveaux paquetages openssl.
De nouveaux paquetages sont disponibles :
  Slackware 14.0 : openssl 1.0.1u-*-1_slack14.0
  Slackware 14.1 : openssl 1.0.1u-*-1_slack14.1
  Slackware 14.2 : openssl 1.0.2i-*-1_slack14.2

Snare Enterprise Agent for MSSQL : version 1.4.9.
La version 1.4.9 est corrigée :
  https://snaresupport.intersectalliance.com/

Snare Enterprise Agent for Windows : version 4.3.8.
La version 4.3.8 est corrigée :
  https://snaresupport.intersectalliance.com/

Solaris : patch pour logiciels tiers de juillet 2016 v4.
Un patch est disponible :
  https://support.oracle.com/rs?type=doc&id=1448883.1

Splunk Enterprise : versions 6.0.13, 6.1.12, 6.2.12, 6.3.8, 6.4.5 et 6.5.1.
Les versions 6.0.13, 6.1.12, 6.2.12, 6.3.8, 6.4.5 et 6.5.1 sont corrigées :
  http://www.splunk.com/

stunnel : version 5.36.
La version 5.36 est corrigée :
  https://www.stunnel.org/downloads/stunnel-5.36-installer.exe
  https://www.stunnel.org/downloads/stunnel-5.36.tar.gz

SUSE LE 11 : nouveaux paquetages openssl1.
De nouveaux paquetages sont disponibles :
  SUSE LE 11 : openssl1 1.0.1g-0.52.1

SUSE LE 12 : nouveaux paquetages openssl.
De nouveaux paquetages sont disponibles :
  SUSE LE 12 RTM : openssl 1.0.1i-27.21.1
  SUSE LE 12 SP1 : openssl 1.0.1i-52.1

Synology RS/DS : version 6.0.2-8451-2.
La version 6.0.2-8451-2 est corrigée :
  https://www.synology.com/

Tenable Nessus : version 6.9.0.
La version 6.9.0 est corrigée :
  http://www.tenable.com/

Ubuntu : nouveaux paquetages openssl.
De nouveaux paquetages sont disponibles :
  Ubuntu 16.04 LTS : libssl1.0.0 1.0.2g-1ubuntu4.5
  Ubuntu 14.04 LTS : libssl1.0.0 1.0.1f-1ubuntu2.21
  Ubuntu 12.04 LTS : libssl1.0.0 1.0.1-4ubuntu5.38

Wind River Linux : solution pour OpenSSL.
La solution est indiquée dans les sources d'information.

WinSCP : version 5.9.3.
La version 5.9.3 est corrigée :
  https://winscp.net/
Bulletin complet, filtrage par logiciel, emails, correctifs, ... (Demandez votre essai gratuit)

Service de veille sur les vulnérabilités informatiques 

Vigil@nce fournit des bulletins de vulnérabilités applicatives. La veille sécurité Vigil@nce publie des bulletins de vulnérabilités pour les failles qui impactent le système d'information.