S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 07 juin 2004
N° CERTA-2004-AVI-182-004
Affaire suivie par: CERT-FR
le 07 juin 2004

Avis du CERT-FR

Objet: Vulnérabilité de Tripwire

Gestion du document

Référence CERTA-2004-AVI-182-004
Titre Vulnérabilité de Tripwire
Date de la première version 07 juin 2004
Date de la dernière version 07 juillet 2004
Source(s) Avis de sécurité Gentoo GLSA 200406-02
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Exécution de code arbitraire.

Systèmes affectés

  • Pour la version commerciale de Tripwire : toutes les versions antérieures à la version 4.0.1 ;
  • pour la version open source de Tripwire : toutes les versions antérieures à la version 2.3.1.

Résumé

Un débordement de mémoire dans le logiciel Tripwire permet à un utilisateur mal intentionné de faire exécuter du code arbitraire sur la machine cible.

Description

Tripwire est un logiciel utilisé pour le contrôle d'intégrité d'un système. Il est disponible en version commerciale et en version open source. Il est possible de réaliser un débordement de mémoire lorsque Tripwire envoie un résumé sous forme de message électronique. En créant un fichier habilement constitué, un utilisateur mal intentionné peut faire exécuter du code arbitraire avec les permissions de l'utilisateur exécutant Tripwire (qui peut être l'utilisateur root).

Solution

Se référer à la section Documentation pour l'obtention du correctif.

Documentation

Gestion détaillée du document

    le 07 juin 2004
    version initiale.
    le 08 juin 2004
    ajout de la référence au bulletin de sécurité de Mandrake. Ajout référence CVE.
    le 09 juin 2004
    ajout de la référence au bulletin de sécurité de SUSE.
    le 15 juin 2004
    ajout de la référence au bulletin de sécurité de RedHat.
    le 07 juillet 2004
    ajout de la référence au second bulletin de sécurité de Mandrake.