S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 03 mars 2005
N° CERTA-2005-AVI-098-002
Affaire suivie par: CERT-FR
le 03 mars 2005

Avis du CERT-FR

Objet: Vulnérabilité de kppp

Gestion du document

Référence CERTA-2005-AVI-098-002
Titre Vulnérabilité de kppp
Date de la première version 03 mars 2005
Date de la dernière version 09 mars 2005
Source(s) Bulletin de sécurité de kde
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Atteinte à l'intégrité des données ;
  • usurpation d'identité.

Systèmes affectés

KDE 3.1.5 et versions antérieures.

Description

Kppp est une application graphique de l'environnement KDE qui permet l'établissement de connexions ppp.

Une vulnérabilité présente dans kppp peut être exploitée par un utilisateur local mal intentionné afin de modifier le contenu des fichiers /etc/hosts et /etc/resolv.conf utilisés pour la résolution de noms (association adresse IP-nom de machine).

Contournement provisoire

Dans l'attente de l'application du correctif, supprimer le drapeau suid sur le fichier /usr/sbin/kppp.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. Documentation).

Documentation

Gestion détaillée du document

    le 03 mars 2005
    version initiale.
    le 07 mars 2005
    ajout de la référence au bulletin de sécurité RedHat.
    le 09 mars 2005
    ajout des références aux bulletins de sécurité Debian et NetBSD.