Mi octobre dernier, Google a révélé l'existence de la faille Poodle qui permet de déchiffrer des données échangées avec le protocole SSLv3, au moyen d'attaques du type man-in-the-middle.

Pas trop grave dites-vous parce que vous, vous utilisez TLS pour crypter les échanges entre un navigateur et le site dont vous êtes responsable de la sécurité ? Vous avez tort.

Qualys vient de publier un billet qui explique que certaines implémentations de TLS sont également vulnérables, faute de vérifier correctement des structures de remplissage après décryptage. Ceci rend possible une attaque, là encore de type man-in-the-middle, nous dit le billet sans plus d'explications techniques

Le vecteur d'attaque est le navigateur, puisque l'attaquant doit injecter du JavaScript pour lancer l'attaque, est-il encore expliqué. Une attaque réussie peut décrypter un cookie de 1 caractère avec 256 requêtes et de 16 caractères avec 4096 requêtes, ce qui rend la faille intéressante à exploiter pratiquement, selon Qualys, qui ajoute de 10% des serveurs seraient ainsi vulnérables.

Qualys vous propose de tester votre serveur à cette page. Dans le doute, n'hésitez pas à mettre à jour vos applicatifs.