Actu
Vigil@nce : GnuTLS, vérification incorrecte de la chaîne de certification
novembre 2008 par Vigil@nce
SYNTHÈSE
Un attaquant peut employer une chaîne de certification invalide
qui n’est pas rejetée par GnuTLS, afin de mener une attaque
man-in-the-middle.
Gravité : 2/4
Conséquences : lecture de données, transit de données
Provenance : serveur internet
Moyen d’attaque : 1 attaque
Compétence de l’attaquant : technicien (2/4)
Confiance : confirmé par l’éditeur (5/5)
Diffusion de la configuration vulnérable : élevée (3/3)
Date création : 17/11/2008
PRODUITS CONCERNÉS
– Mandriva Linux
– Slackware Linux
– Unix - plateforme
DESCRIPTION
La bibliothèque GnuTLS peut être utilisée pour implémenter des
clients/serveurs TLS/SSL.
La vulnérabilité VIGILANCE-VUL-8235 (https://vigilance.fr/arbre/1/8235)
permet à un attaquant de créer une chaîne de certification
invalide qui soit acceptée comme valide par GnuTLS. Cette
vulnérabilité a été corrigée en version 2.6.1 (VIGILANCE-SOL-16440
(https://vigilance.fr/arbre/2/16440)).
Cependant, la version 2.6.1 crée une nouvelle vulnérabilité. En
effet, lorsque la chaîne de certification contient un seul
certificat auto-signé, il est accepté comme valide.
Un attaquant peut par exemple mettre en place un serveur web
illicite présentant une telle chaîne de certification, afin de
tromper les clients web liés à GnuTLS.
CARACTÉRISTIQUES
Références : 505279, MDVSA-2008:227-1, SSA:2008-320-01,
VIGILANCE-VUL-8249
Pointé dans : VIGILANCE-SOL-16440
