S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 29 janvier 2004
N° CERTA-2004-AVI-017
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Multiples vulnérabilités de GAIM

Gestion du document

Référence CERTA-2004-AVI-017
Titre Multiples vulnérabilités de GAIM
Date de la première version29 janvier 2004
Date de la dernière version13 mai 2004
Source(s) Bulletin de sécurité "12 x Gaim remote overflows" d'e-matters
Bulletin de sécurité GLSA 200401-04 de Gentoo
Bulletin de sécurité MDKSA-2004:006 de Mandrake
Bulletins de sécurité RHSA-2004:033 et RHSA-2004:032 de Red Hat
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire à distance

Systèmes affectés

GAIM versions 0.75 et antérieures.

Résumé

Plusieurs vulnérabilités présentes dans le logiciel GAIM peuvent être exploitées par un utilisateur mal intentionné afin d'exécuter, à distance, du code arbitraire sur la plate-forme vulnérable.

Description

GAIM est un logiciel de messagerie instantanée compatible avec de nombreux logiciels de messagerie instantanée (AIM, MSN Messenger, ICQ, Yahoo messenger, Jabber, etc.).

De nombreuses vulnérabilités de type débordement de mémoire sont présentes dans GAIM. Un utilisateur mal intentionné peut, en exploitant une de ces vulnérabilités, exécuter à distance du code arbitraire sur la plate-forme vulnérable.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs :

  • Correctif pour GAIM 0.75 :

    http://gaim.sourceforge.net/gaim-0.75.patch

  • Bulletin de sécurité MDKSA-2004:006 de Mandrake :

    http://www.mandrakesecure.net/en/advisories/advisory.php?name=MDKSA-2004:006

  • Bulletin de sécurité RHSA-2004:032 de Red Hat :

    http://rhn.redhat.com/errata/RHSA-2004-032.html

  • Bulletin de sécurité RHSA-2004:033 de Red Hat :

    http://rhn.redhat.com/errata/RHSA-2004-033.html

  • Bulletin de sécurité GLSA 200401-04 de Gentoo :

    http://www.securityfocus.com/advisories/6277

  • Bulletin de sécurité SuSE-SA:2004:004 de SuSE :

    http://www.suse.com/de/security/2004_04_gaim.html

  • Bulletin de sécurité DSA-434 de Debian :

    http://www.debian.org/security/2004/dsa-434

  • Bulletin de sécurité FreeBSD du 12 février 2004 :

    http://www.vuxml.org/freebsd

Documentation

Gestion détaillée du document

    le 29 janvier 2004
    version initiale.
    le 30 janvier 2004
    ajout référence au bulletin de sécurité de SuSE.
    le 06 février 2004
    ajout référence au bulletin de sécurité de Debian.
    le 13 mai 2004
    ajout du bulletin de sécurité FreeBSD.