Vulnérabilité dans GnuTLS

Date de publication :

Une vulnérabilité a été découverte dans GnuTLS, implémentation libre du protocole TLS. Un attaquant distant non-authentifié peut provoquer un impact non-spécifié, incluant potentiellement le plantage du client (déni de service).

CVE-2020-24659 [Score CVSS v3 : 7.5] : Une vulnérabilité de type déréférencement de pointeur nul a été découverte dans GnuTLS. Un attaquant distant contrôlant un serveur sur lequel un client TLS tente de se connecter peut provoquer un impact non-spécifié via l’envoi d’une séquence spécialement conçue. L’impact habituel de ce type de vulnérabilité peut mener au plantage du client (déni de service).

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Déni de service

Criticité

  • Score CVSS v3 : 7.5

Existence d’un code d’exploitation

  • Aucun code d’exploitation n’est disponible publiquement à ce jour, des informations permettant de déclencher le bogue causant cette vulnérabilité sont cependant disponibles sur le dépôt de développement

Composants vulnérables

  • GnuTLS avant la version 3.6.15

CVE

  • CVE-2020-24659

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour GnuTLS vers la version 3.6.15 ou supérieure

Solution de contournement

  • Aucune solution de contournement n’est disponible

Liens