S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 02 septembre 2004
N° CERTA-2004-AVI-294
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité de lha

Gestion du document

Référence CERTA-2004-AVI-294
Titre Vulnérabilité de lha
Date de la première version02 septembre 2004
Date de la dernière version28 septembre 2004
Source(s) Bulletin de sécurité RedHat RHSA-2004:323 du 01 septembre 2004
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Déni de service
  • Exécution de code arbitraire

Systèmes affectés

lha version 1.14 et versions antérieures.

Résumé

Plusieurs vulnérabilités dans lha permettent à un utilisateur mal intentionné de créer un déni de service ou d'exécuter du code arbitraire à distance.

Description

lha est un utilitaire d'archivage et de compression pour les archives au format LHarc. Plusieurs vulnérabilités ont été découvertes :

  • Une vulnérabilité de type débordement de mémoire dans le traitement des archives au format LHarc (CAN-2004-0769) ;
  • plusieurs vulnérabilités de type débordement de mémoire dans l'analyse des arguments passés en ligne de commande (CAN-2004-0694 et CAN-2004-0771) ;
  • une vulnérabilité de type débordement de mémoire dans l'interprétation des noms de répertoire (CAN-2004-0745).

Ces vulnérabilités permettent à un utilisateur mal intentionné, à l'aide d'une archive LHarc, d'un répertoire ou d'une ligne de commande habilement constituée, de créer un déni de service ou d'exécuter du code arbitraire à distance sur la machine victime.

Solution

Se référer à la section Documentation pour l'obtention des correctifs.

Documentation

Gestion détaillée du document

    le 02 septembre 2004
    version initiale.
    le 09 septembre 2004
    ajout de la référence au bulletin de sécurité Gentoo.
    le 28 septembre 2004
    ajout de la référence au bulletin de sécurité FreeBSD.