Des mises à jour correctives de la bibliothèque cryptographique OpenSSL 3.0.16, 3.1.8, 3.2.4, 3.3.3 et 3.4.1 sont disponibles. Les versions 3.2.4, 3.3.3 et 3.4.1 corrigent une vulnérabilité (CVE-2024-12797) classée comme hautement dangereuse. Cette vulnérabilité permet de réaliser une attaque MITM sur des connexions TLS et DTLS. Le problème se manifeste uniquement dans les systèmes utilisant des clés publiques RPK (Raw Public Key, RFC 7250) pour l'authentification des clients. Par défaut, la prise en charge de RPK est désactivée côté client et de serveurs.
La vulnérabilité est causée par le fait qu'OpenSSL ne renvoie pas au client d'informations sur l'échec de l'authentification du serveur lors de l'établissement d'une connexion avec le mode de vérification SSL_VERIFY_PEER, car le processus de négociation de la connexion n'est pas correctement interrompu. L'attaquant peut alors réaliser une attaque MITM et rediriger le trafic vers son propre hôte au lieu du serveur cible, tandis que le client ne recevra aucune information le serveur signalant comme non authentifié. Le problème apparaît à partir de la branche OpenSSL 3.2, où l'option d'utiliser RPK au lieu des certificats X.509 a été introduite.
De plus, les mises à jour d'OpenSSL corrigent la vulnérabilité CVE-2024-13176, permettant une attaque à canal latéral pour reconstruire la clé privée ECDSA par l'analyse des délais survenant lors de la génération de signatures numériques. La nature de la vulnérabilité réside dans le fait que pour certains types de courbes elliptiques, comme la NIST P-521, il est possible d'isoler des calculs avec des bits supérieurs nuls dans la valeur inversée du vecteur d'initialisation (nonce), dont le temps de traitement diffère de 300 nanosecondes.
Dans le cas d'ECDSA, déterminer ne serait-ce que quelques bits d'information sur le vecteur d'initialisation suffit pour mener une attaque par récupération séquentielle de l'intégralité de la clé privée. Pour réussir cette attaque, l'attaquant doit avoir accès à un système local sur lequel l'application générant les signatures numériques s'exécute, ou une connexion réseau haute vitesse à l'application avec des latences très faibles. L'attaquant doit également être en mesure d'analyser avec une grande précision le temps de génération d'un grand nombre de signatures numériques créées sur des données qu'il connaît.
Source : opennet.ru
