S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 17 avril 2002
N° CERTA-2002-AVI-080
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Multiples vulnérabilités sous TRUE64 UNIX

Gestion du document

Référence CERTA-2002-AVI-080
Titre Multiples vulnérabilités sous TRUE64 UNIX
Date de la première version17 avril 2002
Date de la dernière version17 avril 2002
Source(s) Avis de sécurité SSRT-541 de Compaq
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Déni de service
  • Élévation de privilèges

Systèmes affectés

True64 UNIX versions 4.0f à 5.1a.

Description

Compaq a publié un avis de sécurité décrivant plusieurs vulnérabilités de CDE (Common Desktop Environment), NFS (Network File System), NIS (Network Information Service) et de la bibliothèque libc :

  • CDE : de multiples débordements mémoire dans différentes commandes ou services (dtaction, ttsession, dtprintinfo, dtspcd) permettent à un utilisateur mal intentionné d'obtenir les droits de l'administrateur (root) à distance ;
  • libc : un débordement de mémoire lié à l'utilisation des variables d'environnement LANG et LOCPATH permet à un utilisateur local mal intentionné d'obtenir les droits de l'administrateur (root) ;
  • NIS : l'arrêt du processus ypbind est possible sous certaines conditions, entraînant ainsi un déni de service ;
  • NFS : une attaque par déni de service est possible en inondant le service portmap.

Solution

Installer les correctifs mentionnés dans l'avis de Sécurité SSRT-541 (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 17 avril 2002
    version initiale.