S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 13 décembre 2010
N° CERTA-2010-AVI-587
Affaire suivie par: CERT-FR
le 13 décembre 2010

Avis du CERT-FR

Objet: Vulnérabilités dans Exim 4

Gestion du document

Référence CERTA-2010-AVI-587
Titre Vulnérabilités dans Exim 4
Date de la première version 13 décembre 2010
Date de la dernière version 13 décembre 2010
Source(s) Aucune
Pièce(s) jointe(s)
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire à distance ;
  • élévation de privilèges.

Systèmes affectés

Exim 4.x.

Résumé

Une vulnérabilité dans certaines implantations d'Exim permet à un utilisateur malveillant d'exécuter du code arbitraire à distance.

Une autre vulnérabilité dans Exim permet à un utilisateur malveillant d'élever ses privilèges.

Description

Deux vulnérabilités affectant Exim ont été publiées :

  • (CVE-2010-4344) un débordement de mémoire dans certaines implantations d'Exim est exploitable par un utilisateur malveillant pour exécuter du code arbitraire à distance ;
  • (CVE-2010-4345) le compte d'utilisateur sous lequel Exim s'exécute peut voir ses droits augmentés par l'utilisation d'un fichier de configuration alternatif.

Solution

Se référer aux bulletins de sécurité des distributions pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 13 décembre 2010
    version initiale.