S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 30 août 2006
N° CERTA-2006-AVI-377-001
Affaire suivie par: CERT-FR
le 30 août 2006

Avis du CERT-FR

Objet: Vulnérabilité dans X.Org X11 et des bibliothèques associées

Gestion du document

Référence CERTA-2006-AVI-377-001
Titre Vulnérabilité dans X.Org X11 et des bibliothèques associées
Date de la première version 30 août 2006
Date de la dernière version 08 septembre 2006
Source(s) Bulletins de mises à jour Gentoo GLSA 200608-25
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire ;
  • contournement de la politique de sécurité ;
  • élévation de privilèges.

Systèmes affectés

Toutes les versions de X.Org X11 de 6.8.2 à 7.1.

Résumé

Une vulnérabilité a été identifiée dans le service graphique X.Org X11. Elle permettrait à un utilisateur malveillant d'exécuter sur le système vulnérable des commandes arbitraires avec les droits de l'administrateur.

Description

X.Org X11 est un service graphique qui gère l'interaction entre l'utilisateur (clavier, souris) et la machine. Il est largement utilisé avec les systèmes d'exploitation Unix, Linux ou BSD, mais n'est pas installé par défaut avec Apple MAC OS et Microsoft Windows.

Une vulnérabilité a été identifiée dans ce dernier. Une mauvaise vérification d'erreurs provoquées par la fonction setuid() peut être utilisée par une personne locale au système, afin de modifier des fichiers ou d'exécuter des commandes avec des droits plus élevés (administrateur, ou root).

Le problème existe également au cours de l'utilisation de bibliothèques dérivées de X.Org X11.

Solution

Se référer aux mises à jour de X.Org pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 30 août 2006
    version initiale.
    le 08 septembre 2006
    ajout de la mise à jour Ubuntu.