S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 28 juillet 2008
N° CERTA-2008-AVI-379
Affaire suivie par: CERT-FR
le 28 juillet 2008

Avis du CERT-FR

Objet: Vulnérabilité de openSUSE

Gestion du document

Référence CERTA-2008-AVI-379
Titre Vulnérabilité de openSUSE
Date de la première version 28 juillet 2008
Date de la dernière version 28 juillet 2008
Source(s) CVE-2008-3188
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Contournement de la politique de sécurité.

Systèmes affectés

openSUSE, version 11.0.

Résumé

Une vulnérabilité dans une bibliothèque du système d'exploitation openSUSE permet à un utilisateur malveillant de contourner la politique de sécurité.

Description

La bibliothèque libxcrypt du système d'exploitation openSUSE fait appel à l'agorithme de chiffrement DES pour calculer les condesés des mots de passe quand la configuration prescrit l'algorithme MD5. Cette vulnérabilité amoindrit la protection des mots de passe. Elle permet à un utilisateur malveillant de contourner la politique de sécurité.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).



Après application du correctif, il est nécessaire de changer tous les mots de passe.

Documentation

Gestion détaillée du document

    le 28 juillet 2008
    version initiale.