S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 19 avril 2004
N° CERTA-2004-AVI-134-004
Affaire suivie par: CERT-FR
le 19 avril 2004

Avis du CERT-FR

Objet: Vulnérabilité du client IRC xchat

Gestion du document

Référence CERTA-2004-AVI-134-004
Titre Vulnérabilité du client IRC xchat
Date de la première version 19 avril 2004
Date de la dernière version 12 mai 2004
Source(s) Message électronique de Peter Zelezny du 05 avril 2004
sur la liste de diffusion xchat-announce
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Exécution de code arbitraire à distance.

Systèmes affectés

xchat versions 1.8.0 (incluse) à la version 2.0.8 (incluse).

Résumé

Une vulnérabilité dans xchat permet à un utilisateur mal intentionné d'exécuter du code arbitraire à distance.

Description

xchat est un client IRC (Internet Relay Chat) graphique. Dans le cas où xchat utilise un proxy SOCKS 5 contrôlé par un utilisateur mal intentionné, il est possible pour ce dernier de faire exécuter du code arbitraire à distance sur la plate-forme victime.

Contournement Provisoire

Ne pas utiliser de serveur proxy SOCKS 5 non digne de confiance.

Solution

Se référer au bulletin de sécurité fourni par l'éditeur (cf. Documentation).

Documentation

Gestion détaillée du document

    le 19 avril 2004
    version initiale.
    le 21 avril 2004
    ajout de l'avis de sécurité Debian.
    le 22 avril 2004
    ajout de l'avis de sécurité Mandrake.
    le 30 avril 2004
    ajout de l'avis de sécurité Red Hat.
    le 12 mai 2004
    ajout des références aux bulletins de sécurité FreeBSD et NetBSD.