Heimdall Security Logo

CVE-2021-23840

Vulnérabilité élevée dans OpenSSL (OpenSSL)

CVSS 7.5 · Élevée
EPSS 50.7%
OpenSSL•OpenSSL•Versions : Fixed in OpenSSL 1.0.2y (Affected 1.0.2-1.0.2x), Fixed in OpenSSL 1.1.1j (Affected 1.1.1-1.1.1i)

Description

Calls to EVP_CipherUpdate, EVP_EncryptUpdate and EVP_DecryptUpdate may overflow the output length argument in some cases where the input length is close to the maximum permissable length for an integer on the platform. In such cases the return value from the function call will be 1 (indicating success), but the output length value will be negative. This could cause applications to behave incorrectly or crash. OpenSSL versions 1.1.1i and below are affected by this issue. Users of these versions should upgrade to OpenSSL 1.1.1j. OpenSSL versions 1.0.2x and below are affected by this issue. However OpenSSL 1.0.2 is out of support and no longer receiving public updates. Premium support customers of OpenSSL 1.0.2 should upgrade to 1.0.2y. Other users should upgrade to 1.1.1j. Fixed in OpenSSL 1.1.1j (Affected 1.1.1-1.1.1i). Fixed in OpenSSL 1.0.2y (Affected 1.0.2-1.0.2x).

Gravité et risque d'exploitation

CVE-2021-23840 obtient un score CVSS de 7.5/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 50.73 %, ce qui la place devant 98.9 % des CVE référencées.

Que faire ?

  • Vérifiez si OpenSSL (versions Fixed in OpenSSL 1.0.2y (Affected 1.0.2-1.0.2x), Fixed in OpenSSL 1.1.1j (Affected 1.1.1-1.1.1i)) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE