Heartbleed

Définition

Heartbleed (CVE-2014-0160) est une vulnérabilité critique dans la bibliothèque OpenSSL, découverte en avril 2014, qui permettait à un attaquant de lire la mémoire vive d'un serveur utilisant des versions vulnérables d'OpenSSL (1.0.1 à 1.0.1f et 1.0.2-beta). Cette vulnérabilité a affecté des centaines de milliers de serveurs web dans le monde et est considérée comme l'une des vulnérabilités les plus graves de l'histoire d'Internet. La faille se trouvait dans l'implémentation du mécanisme TLS Heartbeat, conçu pour maintenir une connexion TLS active sans rechanger de clés. Un message Heartbeat contient un payload et une longueur de payload. La vulnérabilité : OpenSSL ne vérifiait pas que la longueur déclarée correspondait à la longueur réelle du payload. Un attaquant pouvait envoyer un Heartbeat avec un payload court (1 octet) mais déclarer une longueur de 65535 octets. OpenSSL lisait et renvoyait 65535 octets depuis la mémoire, exposant des données adjacentes au payload. Les données exposées pouvaient inclure : les clés privées TLS du serveur (permettant de déchiffrer toutes les communications passées et futures avec ce serveur), les credentials d'utilisateurs récemment authentifiés, les tokens de session, les cookies, et potentiellement tout autre contenu sensible présent en mémoire au moment de l'attaque. La vulnérabilité ne laissait aucune trace dans les logs, rendant la détection post-incident difficile. La réponse à Heartbleed a été massive : Apple, Google, Facebook, Amazon et des milliers d'organisations ont patché en urgence, révoqué et remplacé leurs certificats TLS. Des estimations suggèrent que 17% des serveurs HTTPS mondiaux étaient vulnérables. L'incident a catalysé une prise de conscience sur la sécurité des bibliothèques cryptographiques open source, menant à la création de l'initiative Core Infrastructure. Des scripts de test comme le module Metasploit auxiliary/scanner/ssl/openssl_heartbleed ou l'outil heartbleed-test.py permettent de détecter la vulnérabilité rapidement.