S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 10 juin 2004
N° CERTA-2004-AVI-190
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilités de CVS

Gestion du document

Référence CERTA-2004-AVI-190
Titre Vulnérabilités de CVS
Date de la première version10 juin 2004
Date de la dernière version15 juin 2004
Source(s) Bulletin de sécurité "More CVS remote vulnerabilities" d'e-matters
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Déni de service
  • Exécution de code arbitraire à distance

Systèmes affectés

  • Les versions de CVS égales ou antérieures à la version 1.11.16 (branche stable) sont affectées ;
  • les versions de CVS égales ou antérieures à la version 1.12.8 (branche de développement) sont affectées.

Description

CVS (``Concurrent Versions System'') est un système client/serveur utilisé pour la gestion des versions de fichiers essentiellement textuels.

Un audit de code a révélé que de nombreuses vulnérabilités de type débordement de mémoire sont présentes dans le code du serveur CVS.

Un utilisateur mal intentionné peut utiliser ces vulnérabilités afin de réaliser un déni de service ou l'exécution de code arbitraire, à distance, sur une plate-forme vulnérable.

Solution

Les versions 1.11.17 ou 1.12.9 disponibles sur le site CVS (cf. section Documentation) corrigent ces vulnérabilités.

Documentation

Gestion détaillée du document

    le 10 juin 2004
    version initiale.
    le 11 juin 2004
    ajout des références aux bulletins de Debian et Gentoo.
    le 14 juin 2004
    ajout de la référence à la mise à jour de NetBSD.
    le 15 juin 2004
    ajout de la référence au bulletin de sécurité Debian.