🛡 xj1.fr/cve
FICHE CVE

CVE-2009-3555

Publiée le 2009-11-09 · Dernière modification le 2026-06-16

🇫🇷 EN BREF

De nombreux serveurs web et bibliothèques SSL/TLS courants, y compris d'anciennes versions d'Apache, IIS et OpenSSL, sont affectés par cette faille dans leur manière de gérer la renégociation de la connexion. Un attaquant distant positionné entre l'utilisateur et le serveur (man-in-the-middle) peut injecter ses propres données dans une session HTTPS chiffrée. Cette attaque est relativement facile à exécuter car elle ne nécessite ni authentification ni interaction de la part de l'utilisateur.

CVSS 3.19.8 CRITIQUE
Type de faiblesse
Validation de certificat incorrecte · CWE-295CWE-300
Publiée2009-11-09
Dernière modification2026-06-16

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau
Complexité d'attaqueFaible
Privilèges requisAucun
Interaction utilisateurAucune
PortéeInchangée
Impact sur la confidentialitéÉlevé
Impact sur l'intégritéÉlevé
Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

The TLS protocol, and the SSL protocol 3.0 and possibly earlier, as used in Microsoft Internet Information Services (IIS) 7.0, mod_ssl in the Apache HTTP Server 2.2.14 and earlier, OpenSSL before 0.9.8l, GnuTLS 2.8.5 and earlier, Mozilla Network Security Services (NSS) 3.12.4 and earlier, multiple Cisco products, and other products, does not properly associate renegotiation handshakes with an existing connection, which allows man-in-the-middle attackers to insert data into HTTPS sessions, and possibly other types of sessions protected by TLS or SSL, by sending an unauthenticated request that is processed retroactively by a server in a post-renegotiation context, related to a "plaintext injection" attack, aka the "Project Mogul" issue.