Alert GCSA-14045 - Vulnerabilita' nel protocollo TLS (variante di POODLE)

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

******************************************************************

  Alert ID: GCSA-14045
  Data: 10 dicembre 2014
  Titolo: Vulnerabilita' nel protocollo TLS (variante di POODLE)

******************************************************************

:: Descrizione del problema

E' stata individuata una vulnerabilita' nel protocollo
TLS ed e' considerata una variante dell'attacco conosciuto come 
POODLE (Padding Oracle On Downgraded Legacy Encryption).

La vulnerabilita' si verifica per certe implementazioni di TLS 
che erroneamente omettono il controllo della struttura del padding 
e puo' consentire ad un aggressore in rete di intercettare i dati 
cleartext di una connessione sicura, tramite un attacco di tipo 
man-in-the-middle.

Per una descrizione completa delle vulnerabilita' si rimanda
alla sezione 'Riferimenti'.


:: Software interessato

Al momento solo alcuni fornitori risultano produrre implementazioni 
di TLS vulnerabili e tra questi sono noti:
  
  F5 - https://support.f5.com/kb/en-us/solutions/public/15000/800/sol15882.html
  A10 - https://www.a10networks.com/support/advisories/A10-RapidResponse_CVE-2014-8730.pdf


:: Impatto

  Rivelazione e modifica di informazioni
  Accesso non autorizzato


:: Soluzioni

Applicare le patch prodotte dai fornitori di implementazioni TLS 
vulnerabili non appena disponibili.

Effettuare un Test di verifica per Server su:
  https://www.ssllabs.com/ssltest/

e valutare le azioni da intraprendere sulla base dei risultati del test.


:: Riferimenti

Adam Langley's Weblog
  https://www.imperialviolet.org/2014/12/08/poodleagain.html

Qualys Blog
  https://community.qualys.com/blogs/securitylabs/2014/12/08/poodle-bites-tls

ISC SANS 
  https://isc.sans.edu/forums/diary/POODLE+Strikes+Bites+Again/19041


GARR CERT Newsletter subscribe/unsubscribe:
http://www.cert.garr.it/alert/ricevi-gli-alert-di-cert
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.13 (GNU/Linux)

iEYEARECAAYFAlSIbwIACgkQwZxMk2USYEJZ0ACfeN0V2y5h8zFdALySROcJ6lW0
jG4AnjVNe601i2hCRa08vZX2cXpV6Yuw
=7Pj6
-----END PGP SIGNATURE-----