S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 16 juillet 2002
N° CERTA-2002-AVI-151
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité de pkgadd sur Solaris

Gestion du document

Référence CERTA-2002-AVI-151
Titre Vulnérabilité de pkgadd sur Solaris
Date de la première version16 juillet 2002
Date de la dernière version16 juillet 2002
Source(s) Avis 45693 de Sun
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Élévation de privilèges

Systèmes affectés

Solaris 2.5.1, 2.6, 7 et 8 (architectures SPARC et Intel).

La version 9 de Solaris n'est pas vulnérable.

Résumé

La commande pkgadd peut installer des fichiers avec les permissions set-uid ou set-gid.

Description

La commande pkgadd est utilisée pour installer de nouveaux paquetages sur le système.

Il est possible que cette commande installe les fichiers avec les permissions set-uid et/ou set-gid. De plus, la commande pkgadd ne demande aucune confirmation et n'avertit pas l'utilisateur que des fichiers sont installés avec les privilèges set-uid ou set-gid.

Contournement provisoire

Retirez les privilèges set-uid ou set-gid lorsque ceux-ci ne sont pas nécessaires.

Solution

Appliquer le correctif selon la version de Solaris.

Se référer au bulletin 45693 de Sun (cf. section Documentation) pour connaître la version du correctif à appliquer.

Documentation

Gestion détaillée du document

    le 16 juillet 2002
    version initiale.