S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 16 mai 2006
N° CERTA-2006-AVI-199
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité de l'outil Nagios

Gestion du document

Référence CERTA-2006-AVI-199
Titre Vulnérabilité de l'outil Nagios
Date de la première version16 mai 2006
Date de la dernière version24 mai 2006
Source(s) Bulletin de mise à jour Nagios
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Déni de service à distance
  • Exécution de code arbitraire à distance

Systèmes affectés

  • Nagios versions antérieures à la version 1.4.1 ;
  • Nagios versions antérieures à la version 2.3.1 ;

Description

Deux vulnérabilités de type débordement de variable ont été découvertes dans Nagios. Ces vulnérabilités peuvent être exploitées par un utilisateur distant par le biais d'une entête HTTP spécialement conçue.

L'exploitation de cette vulnérabilité permet d'effectuer un déni de service et/ou une compromission de la machine à distance.

Solution

Les versions sources 1.4.1 et 2.3.1 corrigent cette vulnérabilité (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 16 mai 2006
    version initiale ;
    le 24 mai 2006
    deux vulnérabilité du même type au lieu d'une ; ajout des références CVE correspondantes, ajout des bulletins de sécurité Ubuntu, Debian, Gentoo et SUSE.