OpenSSL 1.1.1 passe à la version 1.1.1s et corrige un bogue de sécurité répertorié, mais ce bogue n’a pas d’indice de sécurité ni de numéro CVE officiel.
OpenSSL 3.0 passe à la version 3.0.7 et corrige non pas un mais deux bogues de sécurité numérotés CVE qui sont officiellement désignés comme étant de HAUTE gravité.
Nous vous recommandons fortement de mettre à jour, avec toute l’urgence possible, mais le correctif CRITIQUE dont tout le monde parlait a été rétrogradé à un niveau de gravité ÉLEVÉ.
Le premier bogue ne permet à un attaquant de corrompre que quatre octets sur la pile, ce qui limite l’exploitabilité de la faille, tandis que le second bogue permet un débordement illimité de la pile, mais apparemment uniquement du caractère « Dot » répété à l’infini.
Comme indiqué ci-dessus, vous avez besoin d’OpenSSL 1.1.1s ou d’OpenSSL 3.0.7 pour remplacer la version que vous avez actuellement.
OpenSSL 1.1.1s reçoit un correctif de sécurité décrit comme corrigeant « une régression introduite dans OpenSSL 1.1.1r ne rafraîchissant pas les données du certificat à signer avant de signer le certificat », ce bogue n’a pas de gravité ou de CVE assigné.
