Risques
- Atteinte à l'intégrité des données
- Atteinte à la confidentialité des données
- Contournement de la politique de sécurité
- Élévation de privilèges
Systèmes affectés
- OpenAFS, pour les versions 1.5.0 à 1.5.16 inclus.
- OpenAFS, pour les versions comprises entre 1.0 et 1.4.3 (version incluse) ;
Description
Une vulnérabilité a été identifiée dans le système de fichiers distribué OpenAFS. Ce dernier fonctionne en mode client-serveur, mais le gestionnaire de cache n'utiliserait pas de connexion authentifiée pour les utilisateurs (clients) qui chercheraient à le contacter. Une personne malveillante pourrait donc accéder à certaines données dans le cache, voire élever ses privilèges en profitant du mode setuid utilisé par défaut par l'application.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Avis de sécurité OpenAFS 2007-001 du 21 mars 2007 : http://www.openafs.org/pages/security/OPENAFS-SA-2007-001.txt
- Page d'accueil du projet OpenAFS : http://www.openafs.org
- Référence CVE CVE-2007-1507 https://www.cve.org/CVERecord?id=CVE-2007-1507