Quelques ressources supplémentaires sur le sujet

Retourner au contenu associé (dépêche : CVE-2014-3566 — Vulnérabilité POODLE)

# Quelques ressources supplémentaires sur le sujet

Posté par Xavier Teyssier (site web personnel) le 17 octobre 2014 à 09:19. En réponse à la dépêche CVE-2014-3566 — Vulnérabilité POODLE. Évalué à 4.
- Le CVE : http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-3566
- Un autre article en français qui parle de Poodle : https://www.libwalk.so/2014/10/15/die-sslv3-die.html
- Pour les utilisateurs Red-Hat/CentOS, l'advisory qui va bien : https://access.redhat.com/security/cve/CVE-2014-3566
- Et pour Debian : https://security-tracker.debian.org/tracker/CVE-2014-3566
- Un article (en) avec une règle Snort pour détecter l'utilisation de SSLv3 sur votre réseau : http://blog.fox-it.com/2014/10/15/poodle/
- Une explication technique (en) et pourtant claire de Poodle : https://www.dfranke.us/posts/2014-10-14-how-poodle-happened.html
Pour savoir si un serveur accepte encore SSLv3, il y a par exemple la commande openssl citée ci-dessus, on peut aussi utiliser nmap :
nmap --script ssl-enum-ciphers -p https HOST

Un point sur lequel on n'insiste peut-être pas assez : ce problème n'est pas un bogue logiciel, pas un problème d'implémentation, mais bien un problème dans le protocole lui-même !