Vulnérabilités dans openvswitch
Date de publication :
CVE-2020-27827[Score CVSS v3 : 7.5] : Une faille a été corrigée dans openvswitch. Des paquets LLDP spécialement conçus peuvent entraîner une perte de mémoire lors de l'allocation de données pour gérer des TLV optionnelles spécifiques, ce qui peut provoquer un déni de service. Un attaquant distant et non authentifié peut exploiter cette vulnérabilité.
CVE-2020-35498[Score CVSS v3 : 7.5] : Une vulnérabilité a été corrigée dans openvswitch. Une limitation dans l'implémentation de l'analyse des paquets de l'espace utilisateur peut permettre à un attaquant distant et non-authentifié d'envoyer un paquet spécialement conçu, provoquant un flux trop important dans le noyau, ce qui peut provoquer un déni de service.
Informations
La faille est activement exploitée :
Un correctif existe :
Une mesure de contournement existe :
Risques
- Déni de service
Criticité
- Scores CVSS v3 : 7.5
Existence d’un code d’exploitation
- Aucun code d’exploitation n’est disponible à l’heure actuelle.
Composants vulnérables
Les versions d’openvswitch impactées par ces vulnérabilités sont les suivantes :
- De 2.5.0 à 2.5.12
- De 2.6.0 à 2.6.10
- De 2.7.0 à 2.7.13
- De 2.8.0 à 2.8.11
- De 2.9.0 à 2.9.9
- De 2.10.0 2.10.7
- De 2.11.0 à à 2.11.6
- De 2.12.0 à 2.12.3
- De 2.13.0 à 2.13.3
- De 2.14.0 à 2.14.2
CVE
Solutions ou recommandations
Mise en place de correctifs de sécurité
Mettre à jour openvswitch vers une des versions suivantes :
- 2.5.12
- 2.6.10
- 2.7.13
- 2.8.11
- 2.9.9
- 2.10.7
- 2.11.6
- 2.12.3
- 2.13.3
- 2.14.2
Solution de contournement
- Aucune solution de contournement n’est disponible publiquement à l’heure actuelle.