Conseils de sécurité Microsoft 3109853

Mise à jour pour améliorer l’interopérabilité de reprise de session TLS

Publication : 12 janvier 2016

Version : 1.0

Résumé

Microsoft annonce la disponibilité d’une mise à jour pour améliorer l’interopérabilité entre les clients TLS basés sur Schannel et les serveurs TLS tiers qui activent la reprise basée sur RFC5077 et qui envoient le message NewSessionTicket dans l’établissement d’une négociation TLS abrégée. La mise à jour résout un problème dans schannel.dll qui pourrait entraîner l’échec de la reprise basée sur les tickets de session RFC5077 et, par la suite, provoquer l’échec des clients WinInet (par exemple, Internet Explorer et Microsoft Edge) pour effectuer une secours vers une version de protocole TLS inférieure à celle qui aurait été négociée autrement. Cette amélioration fait partie des efforts continus visant à renforcer l’efficacité du chiffrement dans Windows.

Pour plus d’informations et des conseils de déploiement, consultez l’article 3109853 de la Base de connaissances Microsoft.

Logiciel affecté

Faq sur les conseils

Quelle est la portée de l’avis ? 
Pour annoncer la disponibilité d’une mise à jour pour améliorer l’interopérabilité entre les clients TLS basés sur Schannel et les serveurs TLS tiers qui activent la reprise basée sur RFC5077 et qui envoient le message NewSessionTicket dans l’établissement d’une liaison TLS abrégée.

S’agit-il d’un problème de sécurité ? 
Non. Il s’agit d’un problème de conformité concernant l’implémentation de RFC 5077 de Schannel et provoque des problèmes d’interopérabilité.

Que fait la mise à jour ? 
La mise à jour résout un problème dans schannel.dll qui pourrait entraîner l’échec de la reprise basée sur les tickets de session RFC5077 et, par la suite, provoquer l’échec des clients WinInet (par exemple, Internet Explorer et Microsoft Edge) pour effectuer une secours vers une version de protocole TLS inférieure à celle qui aurait été négociée autrement.

Remerciements

Microsoft reconnaît les efforts de ceux de la communauté de sécurité qui nous aident à protéger les clients par le biais d’une divulgation coordonnée des vulnérabilités. Pour plus d’informations, consultez accusés de réception.

Autres informations

Programme Microsoft Active Protections (MAPP)

Pour améliorer les protections de sécurité pour les clients, Microsoft fournit des informations sur les vulnérabilités aux principaux fournisseurs de logiciels de sécurité avant chaque version mensuelle de la mise à jour de sécurité. Les fournisseurs de logiciels de sécurité peuvent ensuite utiliser ces informations de vulnérabilité pour fournir des protections mises à jour aux clients via leurs logiciels ou appareils de sécurité, tels que les systèmes antivirus, les systèmes de détection d’intrusion basés sur le réseau ou les systèmes de prévention des intrusions basés sur l’hôte. Pour déterminer si les protections actives sont disponibles auprès des fournisseurs de logiciels de sécurité, visitez les sites web de protection actifs fournis par les partenaires du programme, répertoriés dans microsoft Active Protections Program (MAPP) Partners.

Commentaires

• Vous pouvez fournir des commentaires en remplissant le formulaire Aide et support Microsoft, contactez-nous.

Support

• Les clients du États-Unis et du Canada peuvent recevoir un soutien technique du support technique. Pour plus d’informations, consultez Aide et support Microsoft.
• Les clients internationaux peuvent recevoir du support de leurs filiales Microsoft locales. Pour plus d’informations, consultez Support international.
• Microsoft TechNet Security fournit des informations supplémentaires sur la sécurité dans les produits Microsoft.

Exclusion de responsabilité

Les informations fournies dans cet avis sont fournies « tel quel » sans garantie quelconque. Microsoft exclut toutes les garanties, expresses ou implicites, y compris les garanties de marchandabilité et d’adéquation à un usage particulier. En aucun cas, Microsoft Corporation ou ses fournisseurs ne sont responsables de dommages-intérêts, y compris les dommages directs, indirects, accessoires, accessoires, les pertes de bénéfices commerciaux ou les dommages spéciaux, même si Microsoft Corporation ou ses fournisseurs ont été informés de la possibilité de tels dommages- intérêts. Certains États n’autorisent pas l’exclusion ou la limitation de responsabilité pour des dommages indirects ou accessoires afin que la limitation ci-dessus ne s’applique pas.

Révisions

• V1.0 (12 janvier 2016) : avis publié.

Page générée 2016-01-12 11 :46-08 :00.