OpenSSL 3.6.1 publié avec des correctifs de sécurité de haute gravité

OpenSSL 3.6.1 est disponible avec des corrections pour plusieurs vulnérabilités à haute gravité affectant TLS, PKCS12, CMS et la gestion des certificats.

OpenSSL a publié la version 3.6.1, une mise à jour corrective axée sur la sécurité qui corrige plusieurs vulnérabilités, dont plusieurs jugées de gravité élevée, et comprend les correctifs accumulés depuis la précédente mise à jour 3.6.x.

Parmi les plus notables figure la correction de la validation incorrecte des paramètres PBMAC1 lors de la vérification du MAC PKCS#12, suivie sous la référence CVE-2025-11187.

Plusieurs vulnérabilités liées à la mémoire ont également été corrigées, notamment un débordement de tampon de pile lors de l'analyse de CMS AuthEnvelopedData, plusieurs problèmes d'écriture hors limites et sur le tas dans les chemins de code BIO et PKCS#12, ainsi que des déréférencements de pointeur NULL dans les fonctions de recherche et de déchiffrement des chiffrements.

OpenSSL 3.6.1 résout également des problèmes affectant les déploiements TLS modernes. Une faille provoquant une allocation excessive de mémoire lors du traitement des messages CompressedCertificate de TLS 1.3 a été corrigée, ainsi qu'un problème impliquant des octets de fin non authentifiés ou non chiffrés dans les appels de fonction OCB de bas niveau.

Des corrections supplémentaires traitent de la validation manquante du type ASN.1 dans la vérification de la réponse du horodatage et l'analyse PKCS#12, ainsi que d'un problème de confusion de type ASN.1 dans le traitement du digest PKCS7.

Au-delà des vulnérabilités de sécurité, cette version corrige deux régressions apparues dans OpenSSL 3.6.0. L'une rétablit le comportement précédent du drapeau X509_V_FLAG_CRL_CHECK_ALL, tandis que l'autre corrige des échecs de négociation dus à un traitement incorrect des réponses OCSP incluses lorsque les serveurs OpenSSL 3.6.0 interagissent avec certaines implémentations client.

Le projet recommande que les utilisateurs et les distributions dépendant d'OpenSSL 3.6.x effectuent une mise à jour rapidement, en particulier lorsque les services TLS, la validation des certificats ou la gestion de PKCS#12 sont impliqués.

Pour plus d'informations, consultez le journal des modifications.