Sommaire
LiteSpeed a corrigé une faille critique (score CVSS 9,2) dans LSQUIC, sa bibliothèque HTTP/3, qui équipe LiteSpeed Web Server, OpenLiteSpeed et LiteSpeed Web ADC. Elle est exploitable à distance et sans authentification sur les serveurs où HTTP/3 est activé — ce qui est le cas par défaut sur LiteSpeed Enterprise dès qu’un site est en HTTPS avec un certificat valide et le port UDP 443 ouvert. Dans le pire des cas, elle peut mener à une exécution de code à distance ; un plantage du serveur ou une fuite d’informations sont aussi possibles. Aucune attaque n’a été signalée pour l’instant.
Les versions corrigées sont sorties le 3 novembre : Enterprise 6.3.7 build 8 (ou 6.4.0 RC2 build 6), OpenLiteSpeed 1.9.4 et Web ADC 3.4.1. Attention : le numéro de version seul ne suffit pas, il faut bien le build 8 de la 6.3.7. LiteSpeed retient volontairement le correctif du dépôt public LSQUIC jusqu’à la divulgation prévue le 16 novembre, pour laisser le temps de mettre à jour. En attendant, désactiver HTTP/3 reste une solution de repli — les visiteurs retombent alors sur HTTP/2. Le même avis couvre aussi une faille critique du module LiteSpeed Cache pour PrestaShop, corrigée dans la version 1.6.2 du 30 octobre.
Lento dit : Votre hébergeur tourne sous LiteSpeed ? Il y a de grandes chances que oui — et si HTTP/3 est activé, votre serveur est exposé tant qu’il n’a pas ce build. Vérifiez, ou demandez à votre hébergeur de le faire. Attendre le 16 novembre pour découvrir la faille en même temps que les attaquants, c’est le pire plan possible.
