S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 30 juin 2004
N° CERTA-2004-AVI-211-002
Affaire suivie par: CERT-FR
le 30 juin 2004

Avis du CERT-FR

Objet: Vulnérabilité de XFree86

Gestion du document

Référence CERTA-2004-AVI-211-002
Titre Vulnérabilité de XFree86
Date de la première version 30 juin 2004
Date de la dernière version 28 juillet 2004
Source(s) Bulletin de sécurité FreeBSD pour XFree86 du 28 juin 2004
Bulletin de sécurité OpenBSD pour XFree86 du 26 mai 2004
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Contournement de la politique de sécurité.

Systèmes affectés

Toutes les versions de XFree86.

Résumé

Une vulnérabilité présente dans le gestionnaire d'environnement graphique XDM de XFree86 permet à un utilisateur distant mal intentionné de se connecter au serveur même si celui-ci a été désactivé.

Description

XDM est un gestionnaire d'environnement graphique présent dans XFree86. Il permet de créer des sessions sur des plates-formes distantes via le protocole XDMCP (X Display Manager Control Protocol). Une vulnérabilité de XDM autorise les connexions distantes au serveur X même si celles-ci ont été désactivées dans le fichier de configuration xdm-config. Cette vulnérabilité peut être exploitée par un individu mal intentionné afin d'accéder au serveur à distance.

Solution

Mettre à jour XFree86 (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 30 juin 2004
    version initiale.
    le 06 juillet 2004
    ajout de la référence au bulletin de sécurité Gentoo, de la référence CVE et du site Internet de XFree86.
    le 28 juillet 2004
    ajout de la référence au bulletin de sécurité Mandrake.