S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 31 août 2004
N° CERTA-2004-AVI-385
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité dans OpenSSL

Gestion du document

Référence CERTA-2004-AVI-385
Titre Vulnérabilité dans OpenSSL
Date de la première version31 août 2004
Date de la dernière version06 décembre 2004
Source(s) Avis de sécurité Debian DSA-603 du 01 décembre 2004
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Élévation de privilèges

Systèmes affectés

OpenSSL versions 0.9.6m, 0.9.7d et 0.9.7e.

Résumé

Une vulnérabilité a été découverte dans certaines versions d'OpenSSL, permettant à un utilisateur local mal intentionné d'élever ses privilèges.

Description

Une vulnérabilité présente dans le script der_chop permet à un utilisateur local mal intentionné, en utilisant un lien symbolique, de créer ou d'écraser certains fichiers temporaires avec les privilèges de l'utilisateur ayant lancé le script.

Solution

Appliquer le correctif corrigeant cette faille suivant la distribution affectée (cf. Documentation).

Documentation

Gestion détaillée du document

    le 31 août 2004
    ajout de la référence au bulletin de sécurité Avaya.
    le 02 décembre 2004
    version initiale.
    le 06 décembre 2004
    ajout de la référence au bulletin de sécurité Mandrake.