S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 20 janvier 2005
N° CERTA-2005-AVI-021
Affaire suivie par: CERT-FR
le 20 janvier 2005

Avis du CERT-FR

Objet: Vulnérabilité dans la configuration du serveur de fax HylaFAX

Gestion du document

Référence CERTA-2005-AVI-021
Titre Vulnérabilité dans la configuration du serveur de fax HylaFAX
Date de la première version 20 janvier 2005
Date de la dernière version 20 janvier 2005
Source(s) Aucune
Pièce(s) jointe(s)
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Contournement de la politique de sécurité.

Systèmes affectés

Tout système Unix utilisant le serveur de fax HylaFAX version 4 dont les sources sont antérieures ou égales à la révision 4.2.0.

Résumé

HylaFAX fournit un service permettant l'envoi et la réception de fax pour les utilisateurs autorisés à se connecter au serveur. Une mauvaise gestion des restrictions d'accès permet à un utilisateur mal intentionné d'user de ce service à son profit.

Description

Le fichier de configuration host.hfaxd permet de spécifier les hôtes et ou utilisateurs autorisés à utiliser le service. Certaines entrées, couramment présentes par défaut, peuvent être incorrectement interprétées comme un nom d'utilisateur au lieu d'un nom d'hôte et donc être utilisées pour fournir un accès à un utilisateur mal intentionné.

Contournement provisoire

Filtrer les adresses IP autorisées à se connecter à l'aide d'un pare-feu en coupure (ports 444/tcp, 4457/tcp et 4459/tcp par défaut).

Solution

Utiliser les sources de HylaFAX en version 4.2.1 au moins ou se référer au bulletin de sécurité de l'éditeur.

Documentation

Gestion détaillée du document

    le 20 janvier 2005
    version initiale.