Aujourd'hui, l'équipe OpenSSL a publié la version 3,0,7 d'OpenSSL. Cette version comprend des correctifs pour deux vulnérabilités notables de niveau de gravité « Élevé » (CVE-2022-3786 et CVE-2022-3602) qui affectent toutes les versions d'OpenSSL, de la version 3,0,0 à la version 3,0,6. Les équipes de sécurité sont invitées à identifier les versions concernées d'OpenSSL et à effectuer la mise à jour vers la version 3,0,7 dès que possible.
Qu'est-ce qu'OpenSSL ?
OpenSSL est une suite d'outils permettant d'assurer la sécurité des communications au sein des serveurs Web et des applications. À ce titre, il s'agit d'un élément essentiel du protocole TLS (Transport Layer Security), qui garantit la protection des données transmises sur Internet contre toute intrusion.
Pourquoi devriez-vous vous en préoccuper ?
Cette vulnérabilité avait initialement été annoncée comme « critique » dans OpenSSL, mais après sa divulgation, son niveau de gravité a été revu à la baisse et classé « élevé ». D'après les informations fournies par l'équipe OpenSSL, les conditions nécessaires à l'exploitation de cette vulnérabilité sont moins susceptibles de se produire qu'on ne le pensait initialement. Les versions CVE-2022-3786 et CVE-2022-3602 doivent tout de même être mises à jour, même si elles ont été rétrogradées. La dernière faille de sécurité grave dans OpenSSL remonte à huit ans : il s'agissait du célèbre bug « Heartbleed » .
Le défi consiste à le trouver
Pour réduire les risques auxquels votre organisation est exposée, il est essentiel d'identifier les installations concernées et d'y appliquer des correctifs ou de prendre d'autres mesures d'atténuation dès que possible. Mais la difficulté, lorsqu'il s'agit d'appliquer des correctifs à des bibliothèques open source tierces largement utilisées telles qu'OpenSSL, réside dans le fait de repérer tous les endroits où elles sont présentes au sein de l'entreprise.
OpenSSL est un code source que les éditeurs de logiciels doivent compiler ; il peut être intégré de différentes manières, qu'il s'agisse d'une intégration statique au sein de leur programme ou de ressources liées dynamiquement. Ce type de dépendances est difficile (voire, dans de nombreux cas, impossible) à détecter pour les scanners de vulnérabilités traditionnels. C'est pourquoi la découverte nécessite une approche à plusieurs niveaux.
En quoi Tanium SBOM peut-il vous aider ?
Tanium a récemment lancé une nouvelle fonctionnalité appelée « » (Tanium Software Bill of Materials, SBOM) afin d'aider ses clients à identifier les bibliothèques tierces associées aux progiciels. Tanium SBOM est un module complémentaire de Tanium Asset.
Tanium SBOM utilise un seul agent Tanium pour offrir une visibilité en temps réel sur les environnements logiciels complexes, ce qui permet à votre entreprise de prendre des décisions plus éclairées en matière de gestion des risques liés aux terminaux.
Une fois Tanium SBOM configuré, vous disposerez d'informations détaillées sur chaque application logicielle de votre environnement et pourrez identifier les paquets vulnérables. Posez une question simple à Tanium SBOM, et vous obtiendrez une réponse couvrant l'ensemble de votre environnement — à grande échelle et en quelques secondes seulement.
Regardez cette courte vidéo de démonstration pour découvrir comment Tanium SBOM permet de remédier à la vulnérabilité d'OpenSSL.
https://youtu.be/8McUTAFdyh8
Comment utiliser Tanium SBOM pour gérer OpenSSL
Tanium SBOM prend actuellement en charge l'analyse de ces écosystèmes : Java, JavaScript, Python, PHP, Ruby, les binaires GoLang et les bibliothèques partagées OpenSSL. L'installation et la configuration du contenu SBOM nécessitent quelques étapes supplémentaires. Vous trouverez les instructions détaillées, étape par étape, pour ajouter les attributs SBOM pour OpenSSL dans notre article de la communauté Tanium.
Grâce à Tanium, vous pourrez :
- Comprendre chaque composant logiciel lors de l'exécution, en identifiant les progiciels et en les décomposant afin d'examiner tous les composants qui les constituent, sans faire appel à l'éditeur du logiciel. Il est capable d'analyser les fichiers des clients lourds et d'examiner les environnements de clients légers.
- Remédiez aux vulnérabilités ou aux erreurs de configuration détectées dans ces composants.
- Prenez des mesures pour atténuer les risques en mettant fin à l'utilisation d'un appareil affecté, en arrêtant les processus concernés, voire en supprimant complètement les applications sur tous les terminaux concernés.
La plateforme Tanium d' , accessible à l'adresse , permet de détecter et de corriger les vulnérabilités telles que celles découvertes aujourd'hui dans OpenSSL v3 , et elle permet à votre organisation d'être mieux préparée à faire face à la prochaine vulnérabilité de la chaîne d'approvisionnement.
Vous trouverez davantage d'informations, notamment sur la manière d' identifier OpenSSL dans votre environnement, dans notre article de la communauté Tanium.
Nous suivrons de près l'évolution de cette vulnérabilité. N'hésitez pas à revenir consulter cette page, ainsi que notre article sur la communauté Tanium, dès que de nouvelles informations seront disponibles.
