[Nicolas Coolman]

Bulletin de sécurité OpenSSL du 21 juin 2022

Correction d’une vulnérabilité dans OpenSSL c_rehash. Une vulnérabilité a été découverte dans OpenSSL c_rehash. Elle permet à un attaquant de provoquer une exécution de code arbitraire. (Sources)

Le code arbitraire, également connu sous le nom de code obscur ou de code spaghetti, est une pratique où le flux logique d'un programme devient difficile à suivre en raison de la complexité excessive de sa structure. Ce type de code peut résulter d'une mauvaise conception, de l'accumulation de correctifs sans structure claire, ou simplement d'un manque de compréhension du langage de programmation utilisé. Le code arbitraire rend la maintenance et la mise à jour du logiciel difficiles et augmente le risque d'erreurs. Pour éviter cela, il est essentiel de suivre des pratiques de programmation claires et de maintenir une structure logique dans le code.

Les pirates s'intéressent plus particulièrement aux vulnérabilités critiques des logiciels et des systèmes d'exploitation. Ces failles permettent généralement d'obtenir une élévations de privilège donnant des droits d'administrateur. Une situation qui permet d'autoriser l'exécution de code arbitraire à distance à l'insu des victimes. Ce sont particulièrement les failles de catégorie zero days qui sont ciblées en priorité du fait de leur absence de correctif. Le retard d'application des mises à jour des vulnérabilités présente aussi un risque potentiel de contrôle à distance non sollicité.

OpenSSL est une boîte à outils de chiffrement comportant deux bibliothèques, libcrypto et libssl, fournissant respectivement une implémentation des algorithmes cryptographiques et du protocole de communication SSL/TLS, ainsi qu'une interface en ligne de commande, openssl. Le projet OpenSSL développe et maintient le logiciel OpenSSL - une boîte à outils robuste, de qualité commerciale et complète pour la cryptographie à usage général et la communication sécurisée. La prise de décision technique du projet est gérée par le comité technique OpenSSL (OTC) et la gouvernance du projet est gérée par le comité de gestion OpenSSL (OMC). Le projet est régi par des statuts officiels. OpenSSL est concédé sous une licence de style Apache.

Forum gratuit d'assistance
Nicolas Coolman

[Auteur]

Messages