Risque
- Contournement de la politique de sécurité ;
- exécution de code arbitraire à distance.
Systèmes affectés
- Les versions antérieures à 2.573.2.3.
Résumé
Des vulnérabilités ont été identifiées dans l'application Cygwin. L'une d'elles, en particulier, permet à une personne malveillante d'exécuter sous certaines conditions du code arbitraire sur un système vulnérable.
Description
Des vulnérabilités ont été identifiées dans l'application Cygwin. L'application ne vérifie pas correctement l'identité du serveur de téléchargement, permettant ainsi à une personne malveillante de faire télécharger sous certaines conditions une application non légitime sur le système.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Annonce de changement de version Cygwin du 05 août 2008 :
http://cygwin.com/ml/cygwin-announce/2008-08/msg00001.html
- Avis de sécurité de Security Objectives SECOBJADV-2008-02 du 25 juillet 2008 :
http://www.security-objectives.com/advisories/SECOBJADV-2008-02.txt
- Site de téléchargement de la dernière version de Cygwin :
http://cygwin.com/setup/snapshots/setup-2.573.2.3.exe
- Référence CVE CVE-2008-3323 :
https://www.cve.org/CVERecord?id=CVE-2008-3323
