Objet: Vulnérabilités sous FreeRadius

• Référence: CERTA-2004-AVI-323-001
• Titre: Vulnérabilités sous FreeRadius
• Date de la première version: 21 septembre 2004
• Date de la dernière version: 15 octobre 2004
• Source(s): Bulletin de sécurité FreeRadius
• Pièce(s) jointe(s): Aucune(s)

Risque

Déni de service.

Systèmes affectés

• FreeRadius 0.x ;
• FreeRadius versions 1.x antérieures à la version 1.0.1 ;
• Ports FreeBSD de FreeRadius versions 0.8.0 à 1.0.0.

Description

Plusieurs vulnérabilités sont présentes dans le serveur d'authentification FreeRadius. Ces vulnérabilités permettent à un utilisateur mal intentionné de réaliser un déni de service du serveur d'authentification.

Solution

• Installer les sources de la version corrigée de FreeRadius :

  ftp://ftp.freeradius.org/pub/radius/freeradius-1.0.1.tar.gz
  

• Mettre à jour le port ou le paquetage FreeBSD.

Documentation

• Bulletin de sécurité FreeRadius :

  http://www.freeradius.org/security.html
  

• Note de vulnérabilité FreeBSD du 13 octobre 2004 :

  http://www.vuxml.org/freebsd/20dfd134-1d39-11d9-9be9-000c6e8f12e.html
  

• Note de vulnérabilité de l'US-CERT :

  http://www.kb.cert.org/vuls/id/541574
  

• Avis de sécurité Secunia :

  http://secunia.com/advisories/12570/
  

Gestion détaillée du document

le 21 septembre 2004

version initiale ;

le 15 octobre 2004

Ajout de la note FreeBSD et des avis de Secunia et de l'US-CERT.