Risque
- Déni de service à distance
Systèmes affectés
bzip2, version 1.0.5 et versions précédentes.
Les logiciels utilisant le code vulnérable sont concernés (liste non exhaustive) :
- Clamav, version 0.96.2 et versions précédentes ;
- FreeBSD, branches 6, 7 et8.
Résumé
Une vulnérabilité dans bzip2 permet à un utilisateur malveillant de provoquer un déni de service à distance.
Description
Un débordement d'entier dans la fonction de décompression est exploitable par un utilisateur malveillant pour provoquer un déni de service à distance par la soumission d'un fichier compressé spécialement conçu.
La possibilité d'exécuter du code arbitraire à distance est suspectée, mais non démontrée.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Annonce du projet bzip du 20 septembre 2010 http://www.bzip.org/index.html
- Bulletin de sécurité Debian DSA-2112-1 du 20 septembre 2010 : http://www.debian.org/security/2010/dsa-2112
- Bulletin de sécurité FreeBSD-SA-10:08 du 20 septembre 2010 : http://security.freebsd.org/advisories/FreeBSD-SA-10:08.bzip2.asc
- Bulletin de sécurité RedHat RHSA-2010:0703-1 du 20 septembre 2010 : http://rhn.redhat.com/errata/RHSA-2010-0703.html
- Bulletin de sécurité SUSE SUSE-SA:2010:018 du 06 octobre 2010 : http://lists.opensuse.org/opensuse-security-announce/2010-10/msg00000.html
- Bulletin de sécurité Sun du 26 novembre 2010 : http://blogs.sun.com/security/entry/cve_2010_0405_integer_overflow
- Bulletin de sécurité Ubuntu USN-986-1 du 20 septembre 2010 : http://www.ubuntu.com/usn/usn-986-1
- Bulletin de sécurité Ubuntu USN-986-2 du 20 septembre 2010 : http://www.ubuntu.com/usn/usn-986-2
- Bulletin de sécurité Ubuntu USN-986-3 du 20 septembre 2010 : http://www.ubuntu.com/usn/usn-986-3
- Changements dans la version ClamAV 0.96.3 du 20 septembre 2010 : http://git.clamav.net/gitweb?p=clamav-devel.git;a=blob_plain;f=ChangeLog;hb=clamav-0.96.3
- Référence CVE CVE-2010-0405 https://www.cve.org/CVERecord?id=CVE-2010-0405
