Heimdall Security Logo

CVE-2021-3449

Vulnérabilité non évaluée dans OpenSSL (OpenSSL)

CVSS 0.0 · Non évaluée
EPSS 63.5%
OpenSSL•OpenSSL•Versions : Fixed in OpenSSL 1.1.1k (Affected 1.1.1-1.1.1j)

Description

An OpenSSL TLS server may crash if sent a maliciously crafted renegotiation ClientHello message from a client. If a TLSv1.2 renegotiation ClientHello omits the signature_algorithms extension (where it was present in the initial ClientHello), but includes a signature_algorithms_cert extension then a NULL pointer dereference will result, leading to a crash and a denial of service attack. A server is only vulnerable if it has TLSv1.2 and renegotiation enabled (which is the default configuration). OpenSSL TLS clients are not impacted by this issue. All OpenSSL 1.1.1 versions are affected by this issue. Users of these versions should upgrade to OpenSSL 1.1.1k. OpenSSL 1.0.2 is not impacted by this issue. Fixed in OpenSSL 1.1.1k (Affected 1.1.1-1.1.1j).

Gravité et risque d'exploitation

CVE-2021-3449 obtient un score CVSS de 0.0/10, soit une gravité non évaluée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 63.54 %, ce qui la place devant 99.2 % des CVE référencées.

Que faire ?

  • Vérifiez si OpenSSL (versions Fixed in OpenSSL 1.1.1k (Affected 1.1.1-1.1.1j)) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE