Conditions d'utilisation de ce document :	http://www.certa.ssi.gouv.fr/certa/apropos.html
Dernière version de ce document :	http://www.certa.ssi.gouv.fr/site/CERTA-2004-AVI-169

Gestion du document

Tableau 1: Gestion du document

Référence	CERTA-2004-AVI-169
Titre	Vulnérabilité de Java Secure Socket Extension (JSSE)
Date de la première version	19 mai 2004
Date de la dernière version	-
Source(s)	Bulletin de sécurité #57560 de Sun
Pièce(s) jointe(s)	Aucune

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Usurpation d'identité.

2 Systèmes affectés

JSSE 1.0.3, 1.0.3_01 et 1.0.3_02 pour les plates-formes Linux, Solaris et Windows.

La version de JSSE intégrée à JAVA 2 SDK 1.4.x n'est pas vulnérable.

3 Description

JSSE (Java Secure Socket Extension) est une extension du langage Java implémentant une version Java des protocoles SSL (Socket Secure Layer) et TLS (Transport Socket Layer) ainsi que des fonctionnalités de chiffrement, de contrôle d'intégrité et d'authentification. JSSE à été intégré à JAVA 2 SDK version 1.4.

Selon Sun, une vulnérabilité est présente dans la validation des certificats permettant ainsi à un site web malicieux de se faire passer pour un site de confiance lors d'une connexion SSL.

4 Solution

La version 1.0.3_03 de JSSE corrige cette vulnérabilité :

http://java.sun.com/products/jsse/index-103.html

5 Documentation

Bulletin de sécurité #57560 de Sun :

http://sunsolve.sun.com/pub-cgi/retrieve.pl?doc=fsalert%2F57560

Gestion détaillée du document

19 mai 2004: version initiale.

CERTA
2012-01-04

Premier Ministre / Secrétariat Général de la Défense et de la Sécurité Nationale / Agence nationale de la sécurité des systèmes d'information

webmestre

Dernière mise à jour : le 22/05/2012

Centre d'Expertise Gouvernemental de Réponse et de Traitement des Attaques informatiques