FICHE CVE

CVE-2016-7444

Publiée le 2016-09-27 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les systèmes utilisant des versions de GnuTLS antérieures à 3.4.15 ou 3.5.4 sont vulnérables à une faille dans la manière dont les réponses de certificat OCSP sont validées. Un attaquant distant peut envoyer une réponse spécialement conçue pour contourner la validation du certificat, trompant ainsi le système pour lui faire accepter un certificat invalide ou révoqué. Cette action peut être exécutée via le réseau sans nécessiter d'authentification ni d'interaction de la part de l'utilisateur.

CVSS 3.07.5 ÉLEVÉE

Type de faiblesse

Erreurs de permissions et de contrôle d'accès · CWE-264

Publiée2016-09-27

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

The gnutls_ocsp_resp_check_crt function in lib/x509/ocsp.c in GnuTLS before 3.4.15 and 3.5.x before 3.5.4 does not verify the serial length of an OCSP response, which might allow remote attackers to bypass an intended certificate validation mechanism via vectors involving trailing bytes left by gnutls_malloc.