A peine plus de 12 heures après l'annonce d'une sérieuse faille de sécurité dans la bibliothèque OpenSSL, l'ensemble des serveurs chez Bearstech étaient patchés et ses clients en sécurité. Le lundi 7 avril à 18h53, un patch de sécurité était publié sur le dépôt officiel de OpenSSL. Peu après une annonce coordonnée entre les "vendeurs" de solution logicielles était lancée, nom de code CVE-2014-0160.
A 21h36, Debian émettait son alerte DSA-2896-1 que nous avons reçu environ 2 heures plus tard.
A 10h30 ce mardi 8, les centaines de serveurs de nos clients étaient patchés, et tous les services exposant OpenSSL redémarrés (OpenSSH, Apache, Nginx, OpenVPN, etc).
Nous allons procéder à un audit interne et a priori renouveler la plus grande partie de notre PKI interne, opération que nous pouvons effectuer de façon autonome. Par contre le renouvellement des certificats achetés via des tiers est soumis à leur contrats et garanties, ils devront être étudiés au cas par cas.
