Le 7 avril 2014, une faille de sécurité a été publiée concernant les serveurs utilisant OpenSSL. Cette faille a été découverte par codenomicon.com et un informaticien de Google. Certains spécialistes la reconnaissent comme étant la faille la plus importante découverte depuis le SQL injection.

Vous trouverez le détail de la vulnérabilité à l’adresse suivante : http://heartbleed.com/

Qu'est-ce qu'elle permet ?

Cette faille permet de récupéré la clé secrête des certificats X.509, nom d'utilisateurs et mot de passe. Les certificats X.509 servent au chiffrement et déchiffrement des données.

Depuis quand existe-t-elle ?

Il semble que cette faille existe depuis décembre 2011. Toutes les versions d’OpenSSL ne sont pas forcément impactées. Voici un état :

• OpenSSl de 1.0.1 à 1.0.1f (inclue) est vulnérable,
• OpenSSL 1.0.1g n’est pas vulnérable,
• OpenSSL dans sa branche 1.0.0 n’est pas vulnérable,
• OpenSSL dans sa branche 0.9.8 n’est pas vulnérable. 

Comment la corriger ?

La plupart des distributions linux ont sorti un patch. Il suffit de faire vos mises à jour via le gestionnaire de paquets. Plus d'informations se trouvent sur les liens suivants :

• Site officiel d'OpenSSL : http://www.openssl.org/news/vulnerabilities.html 
• Pour debian: https://security-tracker.debian.org/tracker/CVE-2014-0160
• Pour RedHat: http://rhn.redhat.com/errata/RHSA-2014-0376.html

Nous vous rappelons qu’il est recommandé de régulièrement mettre à jour vos applications et services, afin de garantir leur stabilité et sécurité.

Nous recommandons également la mise en place d’une protection de type firewall, afin de se prémunir d’accès illicites au serveur.

Si vous disposez d’une prestation mutualisée ou info gérée, sachez que nos équipes ont déjà fait le nécessaire. Notre support technique reste à votre disposition pour toute demande complémentaire.