S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 07 avril 2006
N° CERTA-2006-AVI-140-001
Affaire suivie par: CERT-FR
le 07 avril 2006

Avis du CERT-FR

Objet: Multiples vulnérabilités dans ClamAV

Gestion du document

Référence CERTA-2006-AVI-140-001
Titre Multiples vulnérabilités dans ClamAV
Date de la première version 07 avril 2006
Date de la dernière version 10 avril 2006
Source(s) Mise à jour de sécurité pour ClamAV du 04 avril 2006
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire à distance ;
  • déni de service à distance.

Systèmes affectés

Clam AntiVirus 0.88 et versions antérieures.

Résumé

Plusieurs vulnérabilités dans ClamAV permettent à un utilisateur distant mal intentionné de provoquer un déni de service ou d'exécuter du code arbitraire.

Description

ClamAV est un logiciel antivirus libre (GPL).

Trois types de vulnérabilités ont été découvertes dans ClamAV :

  • une vulnérabilité de type débordement d'entier dans le traitement des en-tête PE ;
  • plusieurs vulnérabilités de type chaîne de format peuvent être exploitées à distance afin d'exécuter du code arbitraire ;
  • une vulnérabilité de type débordement de mémoire dans la fonction cli_bitset_set() peut être exploitée afin de provoquer un déni de service.

Solution

Appliquer la mise à jour de sécurité de ClamAV en passant à la version 0.88.1 disponible à l'adresse suivante :

http://sourceforge.net/project/showfiles.php?group_id=86638&release_id=407078

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 07 avril 2006
    version initiale.
    le 10 avril 2006
    ajout des références aux bulletins de sécurité Mandriva, Gentoo et FreeBSD.