Daily Shaarli

All links of one day in a single page.

March 1, 2016

575548 – (CVE-2016-0702, CVE-2016-0703, CVE-2016-0704, CVE-2016-0705, CVE-2016-0797, CVE-2016-0798, CVE-2016-0799, CVE-2016-0800) <dev-libs/openssl-1.0.2g: Multiple vulnerabilities (CVE-2016-{0702,0703,0704,0705,0797,0798,0799,0800})

Oh non …
Cette mise à jour d’OpenSSL supprime des fonctionnalités et ainsi des symboles dans les binaires. Du coup, l’ensemble, voire la totalité des programmes utilisant OpenSSL deviennent cassés, et doivent être recompilés.

En même temps, cette mise à jour corrige de nombreuses failles et bulletins de sécurité, il ne faut pas l’ignorer.

https://www.openssl.org/news/secadv/20160301.txt

Voici le lien vers le message d’annonce de cette nouvelle version, qui indique que SSLv2 est supprimé, en plus d’être désactivé (euh ?).
https://marc.ttias.be/openssl-announce/2016-03/msg00002.php

EDIT 23:09+01:00: un article en français, parlant de l'attaque DROWN (Decrypting RSA using Obsolete and Weakened eNcryption) http://www.numerama.com/tech/149306-drown-un-tiers-des-serveurs-https-est-vulnerable-a-une-nouvelle-faille-critique.html
Avec un site Web, et un outil :
https://drownattack.com/
https://github.com/nimia/public_drown_scanner

Plus d’articles :
http://www.zdnet.com/article/dont-let-your-openssl-secured-web-sites-drown/

EDIT 2015-03-05 : Article de Bortzmeyer https://www.bortzmeyer.org/drown.html