S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 14 mai 2004
N° CERTA-2004-AVI-166-004
Affaire suivie par: CERT-FR
le 14 mai 2004

Avis du CERT-FR

Objet: Multiples vulnérabilités dans Ethereal

Gestion du document

Référence CERTA-2004-AVI-166-004
Titre Multiples vulnérabilités dans Ethereal
Date de la première version 14 mai 2004
Date de la dernière version 12 juillet 2004
Source(s) Bulletin de sécurité enpsa-sa-00014 d'Ethereal
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Déni de service ;
  • exécution de code arbitraire à distance.

Systèmes affectés

Toutes les versions de Ethereal comprises entre les versions (incluses) 0.9.8 et 0.10.3.

Résumé

Quatre vulnérabilités dans Ethereal permettent à un utilisateur mal intentionné de réaliser un déni de service ou d'exécuter à distance du code arbitraire sur une plate-forme utilisant une version vulnérable d'Ethereal.

Description

Ethereal est un renifleur réseau. Il permet l'analyse de données depuis le réseau ou à partir d'un fichier.

Un utilisateur mal intentionné, composant judicieusement un fichier destiné à être lu par Ethereal ou injectant un paquet malicieusement construit sur le réseau, peut exploiter une de ces vulnérabilités afin de réaliser un déni de service ou exécuter à distance du code arbitraire sur la plate-forme utilisant une version vulnérable d'Ethereal.

Contournement provisoire

Dans l'attente de l'application du correctif, désactiver les protocoles suivants : SIP, AIM, SPNEGO et MMSE.

Solution

Installer la version 0.10.4 d'Ethereal : 

http://www.ethereal.com/download.html

Documentation

Gestion détaillée du document

    le 14 mai 2004
    version initiale.
    le 04 juin 2004
    ajout des références CVE.
    le 07 juin 2004
    ajout des références aux bulletins de sécurité Gentoo et NetBSD.
    le 10 juin 2004
    ajout de la référence au bulletin de sécurité Red Hat.
    le 12 juillet 2004
    ajout du site Internet d'Ethereal et de la référence au bulletin de sécurité FreeBSD.