Le fabricant d’appareils de stockage en réseau (NAS) QNAP a déclaré qu’il était actuellement enquêter deux failles de sécurité récemment corrigées dans OpenSSL pour déterminer leur impact potentiel, ajoutant qu’il publiera des mises à jour de sécurité si ses produits s’avèrent vulnérables.
Suivi comme CVE-2021-3711 (score CVSS : 7,5) et CVE-2021-3712 (score CVSS : 4,4), le faiblesses concernent un débordement de tampon de haute gravité dans la fonction de déchiffrement SM2 et un problème de débordement de tampon lors du traitement de chaînes ASN.1 qui pourraient être abusés par des adversaires pour exécuter du code arbitraire, provoquer une condition de déni de service ou entraîner la divulgation du contenu de la mémoire privée , telles que des clés privées ou du texte en clair sensible —
« Un attaquant malveillant capable de présenter du contenu SM2 à déchiffrer à une application pourrait faire en sorte que les données choisies par l’attaquant débordent le tampon d’un maximum de 62 octets, modifiant le contenu d’autres données conservées après le tampon, modifiant éventuellement le comportement de l’application ou provoquant le application à planter », selon l’avis pour CVE-2021-3711.
OpenSSL, une bibliothèque cryptographique open source largement utilisée qui fournit des connexions cryptées à l’aide de Secure Sockets Layer (SSL) ou de Transport Layer Security (TLS), abordé les problèmes dans les versions OpenSSL 1.1.1l et 1.0.2za qui ont été livrées le 24 août.
En attendant, NetApp mardi confirmé que les défauts affectent les produits suivants, alors qu’il continue d’évaluer le reste de sa gamme —
- Clustered Data ONTAP
- Connecteur antivirus Clustered Data ONTAP
- Logiciel de contrôleur de système d’exploitation SANtricity E-Series 11.x
- Kit de développement logiciel (SDK) de gestion NetApp
- Fournisseur NetApp SANtricity SMI-S
- Nœud de gestion NetApp SolidFire et HCI
- Chiffrement du stockage NetApp
Le développement survient quelques jours après que le fabricant de NAS Synology a également révélé qu’il avait ouvert une enquête sur un certain nombre de modèles, comprenant DSM 7.0, DSM 6.2, DSM UC, SkyNAS, VS960HD, SRM 1.2, VPN Plus Server et VPN Server, pour vérifier s’ils sont affectés par les deux mêmes défauts.
« De multiples vulnérabilités permettent aux attaquants distants de mener des attaques par déni de service[s] ou éventuellement exécuter du code arbitraire via une version sensible de Synology DiskStation Manager (DSM), Synology Router Manager (SRM), VPN Plus Server ou VPN Server », la société taïwanaise mentionné dans un avis.
D’autres sociétés dont les produits reposent sur OpenSSL ont également publié des bulletins de sécurité, notamment :
