{"id":104516,"date":"2022-06-27T21:36:37","date_gmt":"2022-06-27T19:36:37","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-openssl-3-0-4-privodyashhaya-k-udalyonnomu-povrezhdeniyu-pamyati-proczessa"},"modified":"2022-06-27T21:36:37","modified_gmt":"2022-06-27T19:36:37","slug":"uyazvimost-v-openssl-3-0-4-privodyashhaya-k-udalyonnomu-povrezhdeniyu-pamyati-proczessa","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-v-openssl-3-0-4-privodyashhaya-k-udalyonnomu-povrezhdeniyu-pamyati-proczessa","title":{"rendered":"Vuln\u00e9rabilit\u00e9 dans OpenSSL 3.0.4 entra\u00eenant une corruption de m\u00e9moire distante du processus","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Une vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 d\u00e9tect\u00e9e dans la biblioth\u00e8que cryptographique OpenSSL (CVE pas encore attribu\u00e9e), qui permet \u00e0 un attaquant distant de corrompre le contenu de la m\u00e9moire d'un processus en envoyant des donn\u00e9es sp\u00e9cialement con\u00e7ues lors de l'\u00e9tablissement d'une connexion TLS. Il n'est pas encore clair si ce probl\u00e8me peut conduire \u00e0 l'ex\u00e9cution de code par l'attaquant ou \u00e0 une fuite de donn\u00e9es de la m\u00e9moire du processus, ou s'il se limite simplement \u00e0 un plantage. <\/p>\n
La vuln\u00e9rabilit\u00e9 se manifeste dans la version 3.0.4 d'OpenSSL, publi\u00e9e le 21 juin, et est caus\u00e9e par un correctif inappropri\u00e9 d'une erreur dans le code, permettant la r\u00e9\u00e9criture ou la lecture de jusqu'\u00e0 8192 octets de donn\u00e9es en dehors du tampon allou\u00e9. L'exploitation de la vuln\u00e9rabilit\u00e9 est possible uniquement sur des syst\u00e8mes x86_64 prenant en charge les instructions AVX512. <\/p>\n
Les forks d'OpenSSL tels que BoringSSL et LibreSSL, ainsi que la branche OpenSSL 1.1.1, ne sont pas concern\u00e9s par ce probl\u00e8me. Le correctif est pour l'instant disponible uniquement sous forme de patch. Dans le pire des cas, ce probl\u00e8me pourrait s'av\u00e9rer plus dangereux que la vuln\u00e9rabilit\u00e9 Heartbleed, mais le niveau de menace est att\u00e9nu\u00e9 par le fait que cette vuln\u00e9rabilit\u00e9 ne se manifeste que dans la version 3.0.4 d'OpenSSL, tandis que de nombreuses distributions continuent par d\u00e9faut de fournir la branche 1.1.1 ou n'ont pas encore eu le temps de pr\u00e9parer des mises \u00e0 jour de paquets pour la version 3.0.4. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"