Apple publie un correctif Heartbleed pour les bornes d'accès AirPort
Apple a publié des correctifs de sécurité pour corriger le bogue Heartbleed sur les bornes d'accès AirPort et des mises à jour de sécurité basées sur SSL pour les Apple TV et les Mac.
Vous devriez probablement aller tous les mettre à jour dès que possible.
Ne paniquez pas cependant. La vulnérabilité n'intervient que si l'option Retour à mon Mac est activée sur votre nouvelle borne d'accès AirPort :
Impact: un attaquant dans une position réseau privilégiée peut obtenir le contenu de la mémoire
Description: un problème de lecture hors limites existait dans la bibliothèque OpenSSL lors de la gestion des paquets d'extension de pulsation TLS. Un attaquant en position privilégiée sur le réseau pourrait obtenir des informations de la mémoire du processus. Ce problème a été résolu par une vérification supplémentaire des limites. Seules les bornes d'accès AirPort Extreme et AirPort Time Capsule avec 802.11ac sont concernées, et uniquement si elles ont l'option Retour à mon Mac ou Envoyer les diagnostics activée. Les autres bornes d'accès AirPort ne sont pas concernées par ce problème. [Je souligne]
Les mises à jour Apple TV et Mac proposent toutes un correctif pour ce qu'on appelle une attaque "à triple poignée de main". Ce n'est pas soigné Street Fighter II coup spécial, même s'il devrait évidemment l'être. A la place, c'est ça :
Impact: un attaquant disposant d'une position privilégiée sur le réseau peut capturer des données ou modifier les opérations effectuées dans les sessions protégées par SSL
Description: Dans une attaque de type « triple poignée de main », il était possible pour un attaquant d'établir deux connexions ayant le même cryptage clés et poignée de main, insérez les données de l'attaquant dans une connexion et renégociez afin que les connexions puissent être transmises à chacun autre. Pour empêcher les attaques basées sur ce scénario, Secure Transport a été modifié de sorte que, par défaut, une renégociation doit présenter le même certificat de serveur que celui présenté dans la connexion d'origine.
Je vais frapper la liste de diffusion d'amis proches que j'avertis quand quelque chose comme ça arrive, et essayer de coordonner mes propres mises à jour pour ne pas avoir à passer trop de temps sans Internet lien.
La source: Pomme
