• Cisco IronPort Email Security Appliance, C-series et M-Series, versions antérieures à la version 7.6.0 ;
• Cisco IronPort Security Management Appliance, M-Series, versions antérieures à la version 7.8.0.

Dans l'attente d'un correctif, le CERTA recommande :

• de désactiver le démon telnetd ;
• d'utiliser le protocole SSH pour l'administration des boîtiers, avec une authentification du client forte (mot de passe robuste, voire certificat client).

Source: http://www.certa.ssi.gouv.fr/site/CERTA-2012-ALE-001/index.html

Plusieurs articles et des outils récemment publiés sur l'Internet mettent en lumière certaines fonctionnalités du protocole SSL/TLS. En effet, le protocole SSL requiert des traitements significativement plus coûteux pour le serveur que le client lors de l'établissement d'une session ou lors de la renégociation de clés de session. Cette forte asymétrie des traitements entre le client et le serveur permet à un ou plusieurs clients d'épuiser les ressources serveur et de réaliser un déni de service. Les publications récentes détaillent ces aspects et proposent des outils, très simples d'utilisation, mettant en pratique cette attaque.

Toutes les applications reposant sur l'utilisation d'un canal SSL/TLS sont potentiellement vulnérables
(HTTPS, POPS, IMAPS, LDAPS, ...).

La plus efficace de ces attaques consiste à utiliser une seule connexion TCP pour réaliser de nombreuses renégociations des clés de session SSL/TLS.

Une variante de cette attaque, plus facilement détectable, consiste pour le client à multiplier les connexions TCP pour établir un grand nombre de sessions SSL/TLS. Cette variante sera privilégiée par l'attaquant lorsque la renégociation de clés de session initié par le client est désactivée sur le serveur.

S'agissant d'une fonctionalité du protocole SSL/TLS, aucun correctif n'est à attendre de la part des éditeurs d'implémentation du protocole SSL/TLS.

Néanmoins, un certain nombre de vérification et/ou précautions s'imposent pour prévenir un déni de service sur des applications critiques reposant sur le protocole SSL/TLS.