HeartBleed : une faille qui menace toujours 200 000 serveurs

La faille Heartbleed découverte dans la bibliothèque OpenSSL il y a trois ans de cela a largement occupé l'actualité à son époque, mais elle continue encore de faire parler aujourd'hui puisque tous les serveurs et dispositifs concernés n'ont pas appliqué les mesures nécessaires à la combler.

Pourtant, lors de la découverte de la faille, la situation était présentée comme critique : le brèche découverte dans l'extension Heartbeats au coeur de la bibliothèque OpenSSL existait depuis décembre 2011 et rendait vulnérable une grande partie des serveurs sous Linux, Unix ainsi que sous OS X. Malgré tout, on considère que plus de 200 000 serveurs resteraient concernés par cette faille selon un chiffre rapporté par le moteur de recherche Shodan.

Les administrateurs de ces serveurs n'auraient ainsi pas adopté OpenSSL 1.0.1g ou version supérieure, version qui corrige pourtant la faille. La faille concernerait ainsi encore un bon tiers des 600 000 serveurs pointés du doigt en 2014.

Shodan explique que la majorité de ces serveurs sont localisés aux USA (42 032), la Corée du Sud en compterait encore 15 380, suivie par la Chine (14 116), l'Allemagne (14 072) et la France (8 702).

Une grande majorité des services vulnérables concerne les connexions HTTPS, suivies de très loin par les connexions HTTPS sur le port 8443 ainsi que Webadmin.

Malheureusement, si rien n'a évolué auprès de ces 200 000 serveurs sur les trois dernières années, on peut considérer ces serveurs comme étant à l'abandon : inutile donc d'espérer y voir du changement à court terme.