===================================================================== CERT-Renater Note d'Information No. 2006/VULN065 _____________________________________________________________________ DATE : 13/02/2006 HARDWARE PLATFORM(S) : / OPERATING SYSTEM(S) : Debian sarge et sid avec le package elog ====================================================================== Bulletin d'alerte Debian DSA-967-1 elog -- Plusieurs vulnérabilités Date du rapport: 10 février 2006 Paquets concernés: elog Vulnérabilité: Oui Références dans la base de données de sécurité: Dans le système de suivi des bogues Debian : Bogue 349528. Dans le dictionnaire CVE du Mitre : CVE-2005-4439, CVE-2006-0347, CVE-2006-0348, CVE-2006-0597, CVE-2006-0598, CVE-2006-0599, CVE-2006-0600. Pour plus d'information: Plusieurs problèmes de sécurité ont été découverts dans elog, un journal de bord destiné à réunir des notes. Le projet « Common Vulnerabilities and Exposures » a identifié les problèmes suivants : * CVE-2005-4439 « GroundZero Security » a découvert qu'elog ne vérifiait pas correctement la taille d'un tampon utilisé pour le traitement des paramètres d'URL, ce qui aurait pu permettre l'exécution de code arbitraire. * CVE-2006-0347 Une vulnérabilité de traversée de répertoire dans le traitement des séquences « ../ » des URL aurait pu provoquer la divulgation d'informations. * CVE-2006-0348 Le code d'écriture du fichier journal contenait une vulnérabilité de chaîne de formatage, qui aurait pu permettre l'exécution de code arbitraire. * CVE-2006-0597 Des attributs de révision excessivement longs auraient pu provoquer un plantage dû à un dépassement de tampon. * CVE-2006-0598 Le code d'écriture du fichier journal n'effectuait pas correctement les vérifications suffisantes des limites, ce qui aurait pu permettre l'exécution de code arbitraire. * CVE-2006-0599 elog utilisait des messages d'erreur différents dans le cas d'un mot de passe invalide et d'un nom d'utilisateur invalide, ce qui permettait à un attaquant de tester les noms d'utilisateurs valides. * CVE-2006-0600 Un attaquant pouvait être entraîné dans une boucle de redirection sans fin en utilisant une requête « fail » d'échec, ce qui constitue un risque de déni de service. L'ancienne distribution stable (Woody) ne contient pas de paquet elog. Pour l'actuelle distribution stable (Sarge), ces problèmes ont été corrigés dans la version 2.5.7+r1558-4+sarge2. Pour la distribution instable (Sid), ces problèmes ont été corrigés dans la version 2.6.1+r1642-1. Nous vous recommandons de mettre à jour votre paquet elog. Corrigé dans: Debian GNU/Linux 3.1 (sarge) Source : http://security.debian.org/pool/updates/main/e/elog/elog_2.5.7+r1558-4+sarge2.dsc http://security.debian.org/pool/updates/main/e/elog/elog_2.5.7+r1558-4+sarge2.diff.gz http://security.debian.org/pool/updates/main/e/elog/elog_2.5.7+r1558.orig.tar.gz Alpha: http://security.debian.org/pool/updates/main/e/elog/elog_2.5.7+r1558-4+sarge2_alpha.deb AMD64: http://security.debian.org/pool/updates/main/e/elog/elog_2.5.7+r1558-4+sarge2_amd64.deb ARM: http://security.debian.org/pool/updates/main/e/elog/elog_2.5.7+r1558-4+sarge2_arm.deb Intel IA-32: http://security.debian.org/pool/updates/main/e/elog/elog_2.5.7+r1558-4+sarge2_i386.deb Intel IA-64: http://security.debian.org/pool/updates/main/e/elog/elog_2.5.7+r1558-4+sarge2_ia64.deb HPPA: http://security.debian.org/pool/updates/main/e/elog/elog_2.5.7+r1558-4+sarge2_hppa.deb Motorola 680x0: http://security.debian.org/pool/updates/main/e/elog/elog_2.5.7+r1558-4+sarge2_m68k.deb Big endian MIPS: http://security.debian.org/pool/updates/main/e/elog/elog_2.5.7+r1558-4+sarge2_mips.deb Little endian MIPS: http://security.debian.org/pool/updates/main/e/elog/elog_2.5.7+r1558-4+sarge2_mipsel.deb PowerPC: http://security.debian.org/pool/updates/main/e/elog/elog_2.5.7+r1558-4+sarge2_powerpc.deb IBM S/390: http://security.debian.org/pool/updates/main/e/elog/elog_2.5.7+r1558-4+sarge2_s390.deb Sun Sparc: http://security.debian.org/pool/updates/main/e/elog/elog_2.5.7+r1558-4+sarge2_sparc.deb Les hachés MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité. ====================================================================== ========================================================= Les serveurs de référence du CERT-Renater http://www.urec.fr/securite http://www.cru.fr/securite http://www.renater.fr ========================================================= + CERT-RENATER | tel : 01-53-94-20-44 + + 151 bd de l'Hopital | fax : 01-53-94-20-41 + + 75013 Paris | email: certsvp@renater.fr + =========================================================