Alertes de sécurité : multiples vulnérabilités critiques dans OpenSSL

Contexte et enjeux

Le Centre d'Expertise et de Réponse aux Incidents de Sécurité des Systèmes d'Information (CERT-FR) a publié un avis urgent concernant des vulnérabilités critiques affectant OpenSSL, un composant cryptographique largement déployé dans les infrastructures numériques.

Risques identifiés

Ces failles permettent à un attaquant de réaliser deux types d'exploitations majeures :

• Déni de service à distance : perturbation des services critiques via une exploitation malveillante.
• Contournement de la politique de sécurité : altération des mécanismes de protection configurés.

Versions impactées

Les systèmes utilisant les versions suivantes d'OpenSSL sont vulnérables :

• OpenSSL 1.0.2x antérieures à 1.0.2zr
• OpenSSL 1.1.1x antérieures à 1.1.1zi
• OpenSSL 3.0.x antérieures à 3.0.22
• OpenSSL 3.4.x antérieures à 3.4.7
• OpenSSL 3.5.x antérieures à 3.5.8
• OpenSSL 3.6.x antérieures à 3.6.4
• OpenSSL 4.0.x antérieures à 4.0.2

Recommandations opérationnelles

Les organisations doivent procéder sans délai à la mise à jour des bibliothèques OpenSSL concernées en se référant aux correctifs publiés par l'éditeur. Une revue des politiques de sécurité et des configurations associées est également préconisée pour atténuer les risques résiduels.

Source : ANSSI / CERT-FR — Alertes & avis