FYI -------- Forwarded Message -------- Subject: [corresp_ssi] Vulnérabilité dans le protocole WPA/WPA2 Date: Mon, 16 Oct 2017 19:20:27 +0000 From: CHABANNE Michel <Michel.CHABANNE@dsi.cnrs.fr> Reply-To: CHABANNE Michel <Michel.CHABANNE@dsi.cnrs.fr> To: corresp_ssi@services.cnrs.fr <corresp_ssi@services.cnrs.fr> Bonsoir Vous trouverez ci-joint l'avis du CERT FR concernant la faille touchant le protocole WPA (et WPA2), de plus en plus médiatisée. On notera que toutes les options de chiffrement, même les plus robustes, y sont vulnérables. Il est donc indispensable d'appliquer rapidement les correctifs pour les systèmes d'exploitation qui seront rendus disponibles dans les jours qui viennent. En première approche, l'attaque ciblant les clients, il est possible que certains routeurs ne nécessitent pas de mise à jour. Cordialement M. CHABANNE -----Message d'origine----- BULLETIN D'ALERTE DU CERT-FR Objet : Vulnérabilité dans le protocole WPA/WPA2 Référence : CERTFR-2017-ALE-014 Risque(s) - Atteinte à la confidentialité des données Systèmes affectés La vulnérabilité affectant le protocole de sécurisation des échanges utilisant le mécanisme Wi-Fi Protected Access (WPA), de nombreux systèmes sont impactés. Une liste exhaustive est disponible dans la section documentation de cette alerte. La vulnérabilité touche entre autres les systèmes suivants: - Windows - Linux - Android - Apple Résumé Plusieurs vulnérabilités ont été découvertes dans WPA/WPA2. Il est possible lors de l'établissement d'une session de communication utilisant le protocole WPA/WPA2 d'interférer sur le mécanisme en quatre temps visant à assurer la confidentialité des échanges. Lors de cette phase d'initialisation, un utilisateur malveillant interceptant les communications entre un client et un point d'accès Wi-fi, peut amener le client à réutiliser des paramètres entrant en compte dans le chiffrement des données échangées. Cela peut permettre à un attaquant de provoquer une atteinte à la confidentialité des données. Des informations complémentaires seront ajoutées à la présente page. Solution Plusieurs éditeurs ont diffusé des correctifs pour ces vulnérabilités. Le CERT-FR recommande l'application de ceux-ci au plus vite. Documentation - Page internet décrivant l'attaque sur le protocole WPA/WPA2 https://www.krackattacks.com/ - Liste des systèmes affectées par la vulnérabilité WPA2 https://www.kb.cert.org/vuls/byvendor?searchview&Query=FIELD+Reference=22851... - Référence CVE CVE-2017-13077 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-13077 - Référence CVE CVE-2017-13078 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-13078 - Référence CVE CVE-2017-13079 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-13079 - Référence CVE CVE-2017-13080 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-13080 - Référence CVE CVE-2017-13081 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-13081 - Référence CVE CVE-2017-13082 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-13082 - Référence CVE CVE-2017-13084 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-13084 - Référence CVE CVE-2017-13086 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-13086 - Référence CVE CVE-2017-13087 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-13087 - Référence CVE CVE-2017-13088 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-13088 Dernière version de ce document: https://www.cert.ssi.gouv.fr/alerte/CERTFR-2017-ALE-014/ Contact: Tél.: +33 1 71 75 84 68 Fax: +33 1 84 82 40 70 Web: https://www.cert.ssi.gouv.fr Mél: cert-fr.cossi@ssi.gouv.fr