Faille dans OpenSSL

[Alain]

Une faille dans OpenSSL permet à un site malveillant de contourner la vérification de la signature par le poste de l´utilisateur.

OpenSSL pour les versions antérieures à 0.9.8j recelent une vulnérabilité qu'il faut prendre au sérieux. La vulnérabilité identifiée permet à un site malveillant de contourner la vérification de la signature par le poste de l'utilisateur.

Plusieurs fonctions ne vérifient pas correctement le retour de la fonction EVP_VerifyFinal() pour des signatures avec clés DSA ou ECDSA. Une mauvaise signature est alors considérée comme bonne. Cette vulnérabilité peut être exploitée pour contourner la vérification de la signature par le client, dans le cas où un pirate administre un site malveillant ou utilise une attaque de la forme homme-au-milieu, un code ou site placé entre le client et le bon site Internet. (Certa)
Source