🔴 IBM a publié un bulletin de sécurité concernant de multiples vulnérabilités critiques affectant OpenSSL dans l’environnement IBM Portable Utilities for i. Ces failles de sécurité peuvent exposer les systèmes à des risques d’exécution de code à distance, de déni de service (DoS), ou encore d’écritures mémoire hors limites. Ce bulletin est divisé en 2 parties, en voici un résumé de la première.
Voici un résumé des failles :
CVE-2024-9143
📌 Out-of-bounds Write via EC_GROUP_new_curve_GF2m()
➤ Risque de crash de l’application ou de prise de contrôle à distance, bien que le vecteur d’attaque reste limité à des cas exotiques utilisant des courbes non standard.
🧠 Score CVSS : 3.7
Gravité : Faible
CVE-2023-5678
📌 Temps de traitement excessif lors de la génération ou vérification de clés DH X9.42
➤ Risque de déni de service (DoS) via l’envoi de clés malformées issues d’une source non fiable.
🧠 Score CVSS : 3.7
Gravité : Faible
CVE-2024-5535
📌 Buffer Overread in SSL_select_next_proto
➤ Provoquer une lecture hors limites de la mémoire si la liste des protocoles client est vide
🧠 Score CVSS : 6.5
Gravité : Modérée
CVE-2024-0727
📌 Crash lors de la lecture de fichiers PKCS12 mal formés
➤ Risque de déni de service si des fichiers PKCS12 non fiables sont traités.
🧠 Score CVSS : 3.1
Gravité : Faible
CVE-2023-6129
📌 Corruption d’état avec POLY1305 sur PowerPC
➤ Potentiel crash ou comportement inattendu ; peu probable sans contrôle du matériel.
🧠 Score CVSS : 5.9
Gravité : Modérée
CVE-2023-6237
📌 Ralentissement lors de la vérification de clés RSA anormalement grandes
➤ DoS possible via données non fiables.
🧠 Score CVSS : 3.1
Gravité : Faible
💡 Recommandations IBM
IBM recommande l’application rapide des correctifs PTF que vous pouvez retrouver dans la pièce jointe.
🔗 https://www.ibm.com/support/pages/node/7239954?myns=swgother&mynp=OCSWG60&mynp=OCSSKWKM&mynp=OCSSTS2D&mynp=OCSSB23CE&mynp=OCSSC5L9&mynp=OCSS9QQS&mync=E&cm_sp=swgother--OCSWG60-OCSSKWKM-OCSSTS2D-OCSSB23CE-OCSSC5L9-OCSS9QQS--E 🔗
Agissez maintenant pour sécuriser votre environnement IT avec STR-iCT !
🔐 Restez informé sur les dernières alertes cybersécurité !