L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

menace informatique CVE-2016-6302 CVE-2016-6303 CVE-2016-6304

OpenSSL : sept vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de OpenSSL.
Gravité de cette menace : 3/4.
Nombre de vulnérabilités dans ce bulletin : 7.
Date création : 22/09/2016.
Références de cette faille : 1991866, 1991867, 1991870, 1991871, 1991875, 1991876, 1991878, 1991880, 1991882, 1991884, 1991885, 1991886, 1991887, 1991889, 1991892, 1991894, 1991896, 1991902, 1991903, 1991951, 1991955, 1991959, 1991960, 1991961, 1992681, 1993777, 1996096, 1999395, 1999421, 1999474, 1999478, 1999479, 1999488, 1999532, 2000095, 2000209, 2000544, 2002870, 2003480, 2003620, 2003673, 2008828, bulletinapr2017, bulletinjul2016, bulletinoct2016, CERTFR-2016-AVI-320, CERTFR-2016-AVI-333, cisco-sa-20160927-openssl, cpuapr2017, cpuapr2018, cpujan2017, cpujan2018, cpujul2017, cpujul2019, cpuoct2017, CVE-2016-6302, CVE-2016-6303, CVE-2016-6304, CVE-2016-6305, CVE-2016-6306, CVE-2016-6307, CVE-2016-6308, DLA-637-1, DSA-3673-1, DSA-3673-2, FEDORA-2016-97454404fe, FEDORA-2016-a555159613, FG-IR-16-047, FG-IR-16-048, FG-IR-17-127, FreeBSD-SA-16:26.openssl, HPESBHF03856, HT207423, JSA10759, openSUSE-SU-2016:2391-1, openSUSE-SU-2016:2407-1, openSUSE-SU-2016:2496-1, openSUSE-SU-2016:2537-1, openSUSE-SU-2018:0458-1, RHSA-2016:1940-01, RHSA-2016:2802-01, RHSA-2017:1548-01, RHSA-2017:1549-01, RHSA-2017:1550-01, RHSA-2017:1551-01, RHSA-2017:1552-01, RHSA-2017:1658-01, RHSA-2017:1659-01, RHSA-2017:2493-01, RHSA-2017:2494-01, SA132, SA40312, SB10171, SB10215, SOL54211024, SOL90492697, SP-CAAAPUE, SPL-129207, SSA:2016-266-01, STORM-2016-005, SUSE-SU-2016:2387-1, SUSE-SU-2016:2394-1, SUSE-SU-2016:2458-1, SUSE-SU-2016:2468-1, SUSE-SU-2016:2469-1, SUSE-SU-2016:2470-1, SUSE-SU-2016:2470-2, TNS-2016-16, USN-3087-1, USN-3087-2, VIGILANCE-VUL-20678.
Bulletin Vigil@nce complet... (Essai gratuit)

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans OpenSSL.

Un attaquant peut provoquer une surconsommation de mémoire via une requête OCSP, afin de mener un déni de service. [grav:3/4; CVE-2016-6304]

Un attaquant peut provoquer un blocage de processus dans SSL_peek, afin de mener un déni de service. [grav:2/4; CVE-2016-6305]

Un attaquant peut provoquer un buffer overflow via MDC2_Update, afin de mener un déni de service, et éventuellement d'exécuter du code. [grav:1/4; CVE-2016-6303]

Un attaquant peut provoquer un buffer overflow en lecture seule, afin de mener un déni de service. [grav:1/4; CVE-2016-6302]

Un attaquant peut provoquer un buffer overflow en lecture seule via le décodage d'un certificat X.509, afin de mener un déni de service. [grav:1/4; CVE-2016-6306]

Un attaquant peut provoquer une allocation excessive de mémoire pour des blocs TLS. [grav:1/4; CVE-2016-6307]

Un attaquant peut provoquer une allocation excessive de mémoire pour des blocs DTLS. [grav:1/4; CVE-2016-6308]
Bulletin Vigil@nce complet... (Essai gratuit)

Cette alerte de menace informatique concerne les logiciels ou systèmes comme SDS, SES, SNS, Mac OS X, Arkoon FAST360, Blue Coat CAS, ProxyAV, ProxySG par Blue Coat, SGOS par Blue Coat, Cisco ASR, Cisco Aironet, Cisco ATA, Cisco AnyConnect Secure Mobility Client, Cisco ACE, ASA, AsyncOS, Cisco Catalyst, Cisco Content SMA, Cisco ESA, IOS par Cisco, IOS XE Cisco, IOS XR Cisco, Cisco IPS, Nexus par Cisco, NX-OS, Cisco Prime Access Registrar, Prime Collaboration Assurance, Cisco Prime DCNM, Prime Infrastructure, Cisco Prime LMS, Cisco Router, Secure ACS, Cisco CUCM, Cisco Manager Attendant Console, Cisco Unified CCX, Cisco IP Phone, Cisco MeetingPlace, Cisco Wireless IP Phone, Cisco WSA, Cisco Wireless Controller, Debian, BIG-IP Hardware, TMOS, Fedora, FileZilla Server, FortiAnalyzer, FortiAnalyzer Virtual Appliance, FortiGate, FortiGate Virtual Appliance, FortiOS, FreeBSD, FreeRADIUS, hMailServer, HP Switch, AIX, DB2 UDB, IRAD, QRadar SIEM, Tivoli Storage Manager, Tivoli Workload Scheduler, WebSphere MQ, Juniper J-Series, Junos OS, Junos Space, NSM Central Manager, NSMXpress, MariaDB ~ précis, McAfee Email Gateway, ePO, MySQL Community, MySQL Enterprise, NetScreen Firewall, ScreenOS, Nodejs Core, OpenBSD, OpenSSL, openSUSE, openSUSE Leap, Oracle Communications, Oracle DB, Oracle Directory Server, Oracle Directory Services Plus, Oracle Fusion Middleware, Oracle GlassFish Server, Oracle Identity Management, Oracle iPlanet Web Server, Solaris, Tuxedo, VirtualBox, WebLogic, Oracle Web Tier, Percona Server, pfSense, Pulse Connect Secure, Pulse Secure Client, Pulse Secure SBR, Puppet, RHEL, JBoss EAP par Red Hat, SAS Add-in for Microsoft Office, SAS Analytics Pro, Base SAS Software, SAS Enterprise BI Server, SAS Enterprise Guide, SAS Management Console, SAS OLAP Server, SAS SAS/ACCESS, SAS SAS/AF, SAS SAS/CONNECT, SAS SAS/EIS, SAS SAS/ETS, SAS SAS/FSP, SAS SAS/GRAPH, SAS SAS/IML, SAS SAS/OR, SAS SAS/STAT, SAS SAS/Web Report Studio, Slackware, Splunk Enterprise, stunnel, SUSE Linux Enterprise Desktop, SLES, Synology DS***, Synology RS***, Nessus, Ubuntu, VxWorks, WinSCP.

Notre équipe Vigil@nce a déterminé que la gravité de cette faille est important.

Le niveau de confiance est de type confirmé par l'éditeur, avec une provenance de client internet.

Ce bulletin concerne 7 vulnérabilités.

Un attaquant avec un niveau de compétence expert peut exploiter ce bulletin de vulnérabilité informatique.

Solutions pour cette menace

OpenSSL : version 1.0.2i.
La version 1.0.2i est corrigée :
  https://www.openssl.org/source/openssl-1.0.2i.tar.gz

OpenSSL : version 1.0.1u.
La version 1.0.1u est corrigée :
  https://www.openssl.org/source/openssl-1.0.1u.tar.gz

OpenSSL : version 1.1.0a.
La version 1.1.0a est corrigée :
  https://www.openssl.org/source/openssl-1.1.0a.tar.gz

AIX : patch pour OpenSSL.
Un patch est disponible :
  https://www14.software.ibm.com/webapp/iwm/web/preLogin.do?source=aixbp
  openssl-1.0.1.517.tar.Z
  openssl-1.0.2.1000.tar.Z
  openssl-20.13.101.500.tar.Z
  openssl-20.13.102.1000.tar.Z

Apple MacOS : version Sierra 10.12.2.
La version Sierra 10.12.2 est corrigée.

Blue Coat : solution pour OpenSSL.
La solution est indiquée dans les sources d'information.

Cisco : solution pour OpenSSL.
La solution est indiquée dans les sources d'information.

Comware : solution pour OpenSSL.
La solution est indiquée dans les sources d'information.

Copssh : version 5.7.0.
La version 5.7.0 est corrigée :
  https://www.itefix.net/

Debian 7 : nouveaux paquetages openssl.
De nouveaux paquetages sont disponibles :
  Debian 7 : openssl 1.0.1t-1+deb7u1

Debian : nouveaux paquetages openssl.
De nouveaux paquetages sont disponibles :
  Debian 8 : openssl 1.0.1t-1+deb8u5

F5 BIG-IP : solution pour OpenSSL.
La solution est indiquée dans les sources d'information.

Fedora : nouveaux paquetages openssl.
De nouveaux paquetages sont disponibles :
  Fedora 23 : openssl 1.0.2j-1.fc23
  Fedora 24 : openssl 1.0.2j-1.fc24

FileZilla Server : version 0.9.59.
La version 0.9.59 est corrigée :
  http://sourceforge.net/projects/filezilla/files/FileZilla%20Server/0.9.59/FileZilla_Server-0_9_59.exe/download

Fortinet FortiAnalyzer : version 5.4.2.
La version 5.4.2 est corrigée.

Fortinet FortiOS : version 5.6.0.
La version 5.6.0 est corrigée.

FreeBSD : patch pour openssl.
Un patch est indiqué dans les sources d'information.

FreeRADIUS : version 3.0.12.
La version 3.0.12 est corrigée :
  ftp://ftp.freeradius.org/pub/freeradius/freeradius-server-3.0.12.tar.bz2

FreeRADIUS : version 3.0.13.
La version 3.0.13 est corrigée :
  ftp://ftp.freeradius.org/pub/freeradius/freeradius-server-3.0.13.tar.bz2

hMailServer : version 5.6.6.
La version 5.6.6 est corrigée :
  https://www.hmailserver.com/download

IBM BigFix Platform : solution pour OpenSSL (02/05/2017).
La solution est indiquée dans les sources d'information.

IBM BigFix Remote Control : solution.
La solution est indiquée dans les sources d'information.
Voir aussi le bulletin VIGILANCE-SOL-52145.

IBM Cognos Analytics : solution.
La solution est indiquée dans les sources d'information.

IBM DB2 : solution pour FCM.
La solution est indiquée dans les sources d'information.

IBM QRadar SIEM : version 7.2.8 Patch 4.
La version 7.2.8 Patch 4 est corrigée :
  https://www-945.ibm.com/support/fixcentral/swg/downloadFixes?product=ibm/Other+software/IBM+Security+QRadar+SIEM&release=7.2.0&platform=Linux&function=fixId&fixids=7.2.8-QRADAR-QRSIEM-20170224202650&includeRequisites=1&includeSupersedes=0&downloadMethod=http&source=fc

IBM Rational Application Developer for WebSphere : solution pour Node.js.
La solution est indiquée dans les sources d'information.

IBM Spectrum Protect : versions 7.1.6.5 et 8.1.0.2.
Les versions 7.1.6.5 et 8.1.0.2 sont corrigées :
  Version 7.1.6.5 : http://www-01.ibm.com/support/docview.wss?uid=swg24042496
  Version 8.1.0.2 : http://www.ibm.com/support/docview.wss?uid=swg24043351

IBM Tivoli Workload Scheduler : patch pour OpenSSL.
Une référence de patch est indiquée dans les sources d'information pour chaque version prise en charge de Workload Scheduler.

IBM WebSphere MQ : version 5.3.1.13.
La version 5.3.1.13 est corrigée :
  https://www-945.ibm.com/support/fixcentral/swg/selectFixes?product=ibm/WebSphere/WebSphere+MQ&release=All&platform=HP+NonStop&function=fixId&fixids=5.3.1.13-WS-MQ-HPNSS-FP013&source=fc

Juniper : solution pour OpenSSL.
La solution est indiquée dans les sources d'information.

MariaDB : version 10.1.19.
La version 10.1.19 est corrigée :
  http://downloads.mariadb.org/mariadb/10.1.19

MariaDB : version 5.5.53.
La version 5.5.53 est corrigée :
  http://downloads.mariadb.org/mariadb/5.5.53

McAfee Email Gateway : patch pour OpenSSL.
Un patch est indiqué dans les sources d'information.

McAfee ePO : patch pour OpenSSL.
Un patch est indiqué dans les sources d'information.

MySQL : version 5.5.53.
La version 5.5.53 est corrigée :
  http://www.mysql.com/downloads/

MySQL : version 5.5.55.
La version 5.5.55 est corrigée.

MySQL : version 5.6.34.
La version 5.6.34 est corrigée :
  http://www.mysql.com/downloads/

MySQL : version 5.6.36.
La version 5.6.36 est corrigée.

MySQL : version 5.7.16.
La version 5.7.16 est corrigée :
  http://www.mysql.com/downloads/

MySQL : version 5.7.18.
La version 5.7.18 est corrigée.

Node.js : versions 6.7.0, 4.6.0, 0.12.16, 0.10.47.
Les versions 6.7.0, 4.6.0, 0.12.16, 0.10.47 sont corrigées :
  https://nodejs.org/en/download/

OpenBSD : patch pour CVE-2016-6304.
Un patch est indiqué dans les sources d'information.

openSUSE Leap 42.1 : nouveaux paquetages compat-openssl098.
De nouveaux paquetages sont disponibles :
  openSUSE Leap 42.1 : compat-openssl098 0.9.8j-15.1

openSUSE Leap : nouveaux paquetages openssl-steam.
De nouveaux paquetages sont disponibles :
  openSUSE Leap 42.3 : libopenssl1_0_0-steam 1.0.2k-4.3.1

openSUSE : nouveaux paquetages nodejs (12/10/2016).
De nouveaux paquetages sont disponibles :
  openSUSE 13.2 : nodejs 4.6.0-24.2
  openSUSE Leap 42.1 : nodejs 4.6.0-33.1

openSUSE : nouveaux paquetages openssl.
De nouveaux paquetages sont disponibles :
  openSUSE 13.2 : openssl 1.0.1k-2.39.1
  openSUSE Leap 42.1 : openssl 1.0.1i-18.1

Oracle Communications : CPU de avril 2017.
Un Critical Patch Update est disponible :
  https://support.oracle.com/rs?type=doc&id=2247453.1
  https://support.oracle.com/rs?type=doc&id=2248470.1
  https://support.oracle.com/rs?type=doc&id=2251718.1
  https://support.oracle.com/rs?type=doc&id=2245233.1
  https://support.oracle.com/rs?type=doc&id=2248526.1
  https://support.oracle.com/rs?type=doc&id=2250567.1

Oracle Communications : CPU de avril 2018.
Un Critical Patch Update est disponible :
  http://www.oracle.com/technetwork/security-advisory/cpuapr2018-3678067.html

Oracle Communications : CPU de janvier 2017.
Un Critical Patch Update est disponible :
  https://support.oracle.com/rs?type=doc&id=2213301.1
  https://support.oracle.com/rs?type=doc&id=2213291.1
  https://support.oracle.com/rs?type=doc&id=2213292.1

Oracle Communications : CPU de juillet 2017.
Un Critical Patch Update est disponible.

Oracle Communications : CPU de octobre 2017.
Un Critical Patch Update est disponible.

Oracle Database : CPU de juillet 2019.
Un Critical Patch Update est disponible :
  https://support.oracle.com/rs?type=doc&id=2534806.1

Oracle Fusion Middleware : CPU de avril 2017.
Un Critical Patch Update est disponible :
  https://support.oracle.com/rs?type=doc&id=2228898.1

Oracle Fusion Middleware : CPU de janvier 2018.
Un Critical Patch Update est disponible :
  https://support.oracle.com/rs?type=doc&id=2325393.1

Oracle Fusion Middleware : CPU de juillet 2019.
Un Critical Patch Update est disponible :
  https://support.oracle.com/rs?type=doc&id=2534806.1

Oracle Solaris : patch pour logiciels tiers de avril 2017 v1.
Un patch est disponible :
  https://support.oracle.com/rs?type=doc&id=1448883.1

Oracle VM VirtualBox : version 5.0.28.
La version 5.0.28 est corrigée :
  https://www.virtualbox.org/
  https://support.oracle.com/rs?type=doc&id=2186803.1

Oracle VM VirtualBox : version 5.1.8.
La version 5.1.8 est corrigée :
  https://www.virtualbox.org/
  https://support.oracle.com/rs?type=doc&id=2186803.1

pfSense : version 2.3.2-p1.
La version 2.3.2-p1 est corrigée :
  https://www.pfsense.org/download/

Pulse Secure : solution pour OpenSSL.
La solution est indiquée dans les sources d'information.

Puppet Agent : version 1.7.1.
La version 1.7.1 est corrigée :
  https://www.puppet.com/

Puppet Enterprise : version 2016.4.0.
La version 2016.4.0 est corrigée :
  https://www.puppet.com/

Red Hat JBoss EAP : version 6.4.16.
La version 6.4.16 est corrigée.

Red Hat JBoss Web Server 2 : patch.
Un patch est disponible :
  https://access.redhat.com/jbossnetwork/restricted/listSoftware.html?product=webserver&downloadType=securityPatches&version=2.1.2

RHEL 6.x : nouveaux paquetages openssl.
De nouveaux paquetages sont disponibles, comme indiqué dans les sources d'informations.

RHEL : nouveaux paquetages openssl.
De nouveaux paquetages sont disponibles :
  RHEL 6 : openssl 1.0.1e-48.el6_8.3
  RHEL 7 : openssl 1.0.1e-51.el7_2.7

SAS 9.4 : patch pour OpenSSL, Apache.
Un patch est disponible :
  http://support.sas.com/kb/59371.html

SAS Base SAS Software : versions corrigées pour OpenSSL.
Les URLs des versions corrigées sont indiquées dans les sources d'information.

Slackware : nouveaux paquetages openssl.
De nouveaux paquetages sont disponibles :
  Slackware 14.0 : openssl 1.0.1u-*-1_slack14.0
  Slackware 14.1 : openssl 1.0.1u-*-1_slack14.1
  Slackware 14.2 : openssl 1.0.2i-*-1_slack14.2

Snare Enterprise Agent for MSSQL : version 1.4.9.
La version 1.4.9 est corrigée :
  https://snaresupport.intersectalliance.com/

Snare Enterprise Agent for Windows : version 4.3.8.
La version 4.3.8 est corrigée :
  https://snaresupport.intersectalliance.com/

Solaris : patch pour logiciels tiers de juillet 2016 v4.
Un patch est disponible :
  https://support.oracle.com/rs?type=doc&id=1448883.1

Solaris : patch pour logiciels tiers de octobre 2016 v1.
Un patch est disponible :
  https://support.oracle.com/rs?type=doc&id=1448883.1

Solaris : patch pour logiciels tiers de octobre 2016 v2.
Un patch est disponible :
  https://support.oracle.com/rs?type=doc&id=1448883.1

Splunk Enterprise : versions 6.0.13, 6.1.12, 6.2.12, 6.3.8, 6.4.5 et 6.5.1.
Les versions 6.0.13, 6.1.12, 6.2.12, 6.3.8, 6.4.5 et 6.5.1 sont corrigées :
  http://www.splunk.com/

Stormshield : versions corrigées pour OpenSSL.
Les versions corrigées sont indiquées dans les sources d'information.

stunnel : version 5.36.
La version 5.36 est corrigée :
  https://www.stunnel.org/downloads/stunnel-5.36-installer.exe
  https://www.stunnel.org/downloads/stunnel-5.36.tar.gz

SUSE LE 11 : nouveaux paquetages openssl.
De nouveaux paquetages sont disponibles :
  SUSE LE 11 SP2 : openssl 0.9.8j-0.102.2
  SUSE LE 11 SP3 : openssl 0.9.8j-0.102.2
  SUSE LE 11 SP4 : openssl 0.9.8j-0.102.2

SUSE LE 11 : nouveaux paquetages openssl1.
De nouveaux paquetages sont disponibles :
  SUSE LE 11 : openssl1 1.0.1g-0.52.1

SUSE LE 12 : nouveaux paquetages compat-openssl098.
De nouveaux paquetages sont disponibles :
  SUSE LE 12 RTM : compat-openssl098 0.9.8j-102.1
  SUSE LE 12 SP1 : compat-openssl098 0.9.8j-102.1

SUSE LE 12 : nouveaux paquetages nodejs4.
De nouveaux paquetages sont disponibles :
  SUSE LE 12 RTM/SP1 : nodejs4 4.6.0-8.1

SUSE LE 12 : nouveaux paquetages openssl.
De nouveaux paquetages sont disponibles :
  SUSE LE 12 RTM : openssl 1.0.1i-27.21.1
  SUSE LE 12 SP1 : openssl 1.0.1i-52.1

SUSE LE 12 SP2 : nouveaux paquetages nodejs4.
De nouveaux paquetages sont disponibles :
  SUSE LE 12 SP2 : nodejs4 4.6.0-8.1

Synology RS/DS : version 6.0.2-8451-2.
La version 6.0.2-8451-2 est corrigée :
  https://www.synology.com/

Tenable Nessus : version 6.9.0.
La version 6.9.0 est corrigée :
  http://www.tenable.com/

Ubuntu : nouveaux paquetages openssl.
De nouveaux paquetages sont disponibles :
  Ubuntu 16.04 LTS : libssl1.0.0 1.0.2g-1ubuntu4.5
  Ubuntu 14.04 LTS : libssl1.0.0 1.0.1f-1ubuntu2.21
  Ubuntu 12.04 LTS : libssl1.0.0 1.0.1-4ubuntu5.38

Wind River Linux : solution pour OpenSSL.
La solution est indiquée dans les sources d'information.

Wind River VxWorks : solution pour OpenSSL.
La solution est indiquée dans les sources d'information.

WinSCP : version 5.9.3.
La version 5.9.3 est corrigée :
  https://winscp.net/
Bulletin Vigil@nce complet... (Essai gratuit)

Service de veille sur les vulnérabilités informatiques

Vigil@nce fournit une contre-mesure de vulnérabilité de réseau. L'équipe Vigil@nce surveille les vulnérabilités informatiques de systèmes et d'applications. La cellule de veille technologique suit les menaces sécurité qui ciblent le parc informatique. Le service de veille sur les vulnérabilités informatiques Vigil@nce alerte vos équipes des failles et des menaces qui concernent votre système d'information.