Une nouvelle faille de sécurité, surnommée HollowByte, expose les serveurs utilisant OpenSSL à un risque de déni de service (DoS) particulièrement efficace. Découverte par l'équipe Red Team d'Okta, cette vulnérabilité permet à un attaquant, sans aucune authentification préalable, d'envoyer une charge utile d'à peine onze octets pour provoquer une saturation mémoire du serveur cible.

Mécanisme de l'attaque

Le principe de HollowByte repose sur la gestion des messages TLS. En envoyant une requête malicieuse de onze octets, le serveur OpenSSL non corrigé alloue jusqu'à 131 kilo-octets de mémoire pour un message qui ne sera jamais reçu. Sur les systèmes utilisant la bibliothèque glibc, comme l'ont observé les chercheurs d'Okta, cette mémoire n'est pas libérée tant que le processus du serveur n'est pas redémarré. Une accumulation de ces requêtes peut donc rapidement épuiser la mémoire disponible, entraînant un arrêt du service.

Correction discrète

La faille a été corrigée dans la version 4.0.1 d'OpenSSL, intégrée au mois de juin. Aucun numéro CVE n'a été attribué, aucun avis de sécurité ni aucune entrée dans le journal des modifications ne mentionnent explicitement cette correction. Cette absence de communication contraste avec les pratiques habituelles de l'écosystème open source, où les correctifs de sécurité sont généralement accompagnés d'annotations dédiées.

Implications et recommandations

HollowByte représente une menace sérieuse pour les infrastructures reposant sur OpenSSL, notamment les serveurs web, les services VPN ou les applications cryptographiques. La simplicité de l'attaque – un paquet de onze octets – et l'absence d'authentification nécessaire en font un outil potentiel pour des campagnes de déni de service distribuées (DDoS). Les administrateurs sont invités à mettre à jour leurs installations vers la version 4.0.1 ou ultérieure, et à vérifier que le correctif est bien appliqué, en l'absence d'annonce officielle.

Contexte et réactions

Okta a publié des informations techniques sur sa découverte, mais n'a pas précisé si elle avait été contactée par les développeurs d'OpenSSL avant le déploiement du correctif. Les chercheurs recommandent aux organisations de surveiller leurs logs pour détecter d'éventuelles tentatives d'exploitation et de planifier un redémarrage périodique des serveurs tant que la mise à jour n'est pas effectuée.