S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 19 septembre 2003
N° CERTA-2003-AVI-153-003
Affaire suivie par: CERT-FR
le 19 septembre 2003

Avis du CERT-FR

Objet: Vulnérabilités dans le serveur de messagerie Sendmail

Gestion du document

Référence CERTA-2003-AVI-153-003
Titre Vulnérabilités dans le serveur de messagerie Sendmail
Date de la première version 19 septembre 2003
Date de la dernière version 21 janvier 2004
Source(s) Avis CA-2003-25 du CERT/CC
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Déni de service ;
  • Exécution distante de code arbitraire avec les privilèges du service sendmail (généralement root).

Systèmes affectés

Tout système utilisant Sendmail dans une version antérieure à la 8.12.10, quel soit son type (Unix/Linux, NT).

Résumé

Deux failles ont été identifiées dans le code de Sendmail et l'une d'elle peut être exploitée à distance pour obtenir des privilèges élévés.

Description

Sendmail contient une vulnérabilité, de type débordement de tampon, dans le code d'analyse des adresses (référence CAN-2003-0694). Selon la plateforme et le système d'exploitation employé, celle-ci peut être utilisée pour exécuter du code localement et/ou à distance.

Par ailleurs, il existe également un bogue dans le code d'analyse des règles (référence CAN-2003-0681), non exploitable dans la configuration par défaut.

Solution

Mettre à jour Sendmail.

Documentation

Gestion détaillée du document

    le 19 septembre 2003
    version initiale ;
    le 01 octobre 2003
    ajout de SuSE, Sun, SGI, HP, IBM ;
    le 20 janvier 2004
    mise à jour pour IBM ;
    le 21 janvier 2004
    correction du lien IBM.