🔴 IBM a publié un bulletin de sécurité concernant de multiples vulnérabilités critiques affectant OpenSSL dans l’environnement IBM Portable Utilities for i. Ces failles de sécurité peuvent exposer les systèmes à des risques d’exécution de code à distance, de déni de service (DoS), ou encore d’écritures mémoire hors limites. Ce bulletin est divisé en 2 parties, en voici la seconde partie.
Voici un résumé des failles :
CVE-2024-2511
📌 Croissance mémoire incontrôlée avec TLS 1.3 et SSL_OP_NO_TICKET
➤ Une mauvaise gestion du cache de session TLS 1.3 en présence de certaines options serveur peut entraîner une fuite mémoire non bornée.
🧠 Score CVSS : 5.9
Gravité : Modérée
CVE-2024-6119
📌 Crash lors de la vérification de certificats X.509 avec champ
➤ Une erreur dans la vérification de noms de certificat peut conduire à un accès mémoire invalide, provoquant un crash.
🧠 Score CVSS : 7.5
Gravité : Élevée
CVE-2024-4603
📌 Déni de service avec paramètres DSA trop longs
➤ Déni de service possible sur applications effectuant ces vérifications avec des données non fiables.
🧠 Score CVSS : 3.7
Gravité : Faible
CVE-2023-5363
📌 Erreur dans la gestion des longueurs de clé/IV
➤ Risque de perte de confidentialité ou crash selon le chiffrement utilisé (notamment GCM, CCM, OCB).
🧠 Score CVSS : 5.9
Gravité : Modérée
CVE-2024-13176
📌 Fuite de timing dans les signatures ECDSA (P-521)
➤ Requiert un accès local ou un réseau très rapide ; impact potentiel sur la confidentialité.
🧠 Score CVSS : 4.1
Gravité : Faible
CVE-2024-4741
📌 Utilisation de mémoire libérée avec SSL_free_buffers
➤ Risque de crash ou exécution de code ; seules les applications appelant directement cette fonction sont concernées.
🧠 Score CVSS : 7.5
Gravité : Élevée
💡 Recommandations IBM
IBM recommande l’application rapide des correctifs PTF que vous pouvez retrouver dans la pièce jointe.
🔗 https://www.ibm.com/support/pages/node/7239954?myns=swgother&mynp=OCSWG60&mynp=OCSSKWKM&mynp=OCSSTS2D&mynp=OCSSB23CE&mynp=OCSSC5L9&mynp=OCSS9QQS&mync=E&cm_sp=swgother--OCSWG60-OCSSKWKM-OCSSTS2D-OCSSB23CE-OCSSC5L9-OCSS9QQS--E 🔗
Agissez maintenant pour sécuriser votre environnement IT avec STR-iCT !
🔐 Restez informé sur les dernières alertes cybersécurité !