S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 01 février 2005
N° CERTA-2005-AVI-044-001
Affaire suivie par: CERT-FR
le 01 février 2005

Avis du CERT-FR

Objet: Vulnérabilité de ClamAV

Gestion du document

Référence CERTA-2005-AVI-044-001
Titre Vulnérabilité de ClamAV
Date de la première version 01 février 2005
Date de la dernière version 24 février 2005
Source(s) Bulletin de sécurité Gentoo GLSA 200501-46
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Contournement de la politique de sécurité ;
  • déni de service.

Systèmes affectés

ClamAV versions 0.80 et antérieures.

Résumé

Deux vulnérabilités dans ClamAV permettent à un utilisateur mal intentionné de contourner la politique de sécurité ou de réaliser un déni de service sur la plate-forme vulnérable.

Description

ClamAV est un logiciel libre permettant d'analyser des fichiers à la recherche de virus. Il est souvent utilisé pour détecter les éventuels virus contenus dans les messages arrivant sur un serveur de messagerie.
Une vulnérabilité dans le traitement des entêtes de certains fichiers (archives au format ZIP) permet à un utilisateur mal intentionné, par le biais d'une archive habilement constituée, de provoquer un arrêt brutal du service.
Une seconde vulnérabilité dans le traitement des URL contenant une image encodée au format base64 permet à un utilisateur mal intentionné de contourner la politique de sécurité en créant un fichier qui va échapper à l'analyse de ClamAV.

Solution

Mettre à jour ClamAV en version 0.81.
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 01 février 2005
    version initiale.
    le 24 février 2005
    ajout de la référence au bulletin de sécurité NetBSD.