BULLETIN D'ALERTE DU CERT-FR

1 - Risque(s)

contournement de la politique de sécurité
atteinte à la confidentialité des données

2 - Systèmes affecté(s)

OpenSSL 1.0.1, version 1.0.1f et antérieures
OpenSSL 1.0.2-beta1

3 - Résumé

Une vulnérabilité a été découverte dans OpenSSL. Elle permet à un attaquant de provoquer un contournement de la politique de sécurité et une atteinte à la confidentialité des données.

4 - Recommandations

Le CERT-FR recommande de mettre à jour les installations d'OpenSSL vulnérables. De plus, il est nécessaire de relancer les services susceptibles d'employer une ancienne version de la bibliothèque (notamment les serveurs Web et de messagerie électronique).
Après mise à jour d'OpenSSL, pour déterminer les services à redémarrer, il est possible d'employer sous Linux la commande ci-après : lsof | grep libssl | grep DEL

Néanmoins, cette commande ne permet pas de repérer les éventuels services compilés avec OpenSSL en statique.

Il est également recommandé, en cas de suspicion de compromission, de révoquer les certificats utilisés et de générer de nouvelles clés de chiffrement.

5 - Documentation

Bulletin de sécurité OpenSSL du 07 avril 2014
https://www.openssl.org/news/secadv_20140407.txt
Référence CVE CVE-2014-0160
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0160
Description de la vulnérabilité
http://heartbleed.com/


Source : http://www.cert.ssi.gouv.fr/site/CERTFR-2014-ALE-003/index.html

je pense que je suis dans la vulnérabilité donc?

ps: mint16

Teste avec ce site, tu seras rapidement fixé si vulnérable ou non :

http://filippo.io/Heartbleed/#lafibre.info

Bonjour à tous.

Le DSM 5.0 Update 1 de Synology semble poser problème (testé en utilisant le lien proposé quelques posts plus haut). En tous cas pour le DS710+ (Processeur x86).

Sinon ça semble OK pour les serveur Ubuntu 12.04 LTS maintenus à jour.

UPDATE : Merci, OPTIX, pour le lien 

debian recharge effectivement quasiment tous les services qui l'utilisent

par contre dans la liste il manquait quand même:
apache2 et ssh

ah c'est bien ça!
bon par contre il faut faire le redémarrage manuellement (ou alors je n'ai pas trouvé)

ah c'est bien ça!
bon par contre il faut faire le redémarrage manuellement (ou alors je n'ai pas trouvé)

ouaip mais au moins c'est généralement fiable.