Risques

  • Contournement de la politique de sécurité
  • Exécution de code arbitraire à distance

Systèmes affectés

  • Subversion, pour les versions antérieures à 1.4.5.

Résumé

Une vulnérabilité a été identifiée dans l'application de gestion de versions Subversion (aussi écrit en abrégé svn). Elle permettrait à une personne malveillante, sous certaines conditions, d'exécuter du code arbitraire à distance sur le système vulnérable.

Description

Une vulnérabilité a été identifiée dans l'application de gestion de versions Subversion (aussi écrit en abrégé svn). Le concept, similaire à CVS, repose sur un dépôt centralisé. Il offre aux clients un ensemble de commandes, incluant checkout (co) et update (up).

Cependant, des bibliothèques installées chez le client permettrait de créer des fichiers sur le poste, pendant l'une de ces opérations, même si le fichier ne se trouve pas dans le contexte de la copie de travail svn.

Une personne malveillante distante pourrait ainsi profiter de cette vulnérabilité pour écraser des fichiers existants, et exécuter des commandes arbitraires sur le système du client vulnérable.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation