S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 21 novembre 2000 No CERTA-2000-AVI-073

Affaire suivie par :

CERTA

Objet : Vulnérabilité sous HP-UX du script auto_parms

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Accès en local aux privilèges administrateur ;
• Déni de service ;
• Risque important car l'exploitation de la vulnérabilité est facilement accessible.

2 Systèmes affectés

HP9000 séries 700/800 sous HP-UX 10.xx et 11.xx

3 Résumé

Deux vulnérabilités découvertes dans le script Auto_parms permettent à un utilisateur local d'usurper les privilèges root lors du démarrage de la machine.

4 Description

Le script Auto_parms permet de gérer la configuration DHCP (Dynamic Host Configuration Protocol). Ce script est appelé à chaque démarrage de la machine. Les vulnérabilités découvertes permettent à un utilisateur mal intentionné d'usurper les privilèges de ROOT lors du lancement de ce script.

Un programme permettant de réaliser d'exploiter cette vulnérabilité est largement répandu sur internet.

5 Solution

Correctifs suivant les versions d'HP-UX :

Correctif disponible sur le site :

http://europe-support.external.hp.com

6 Documentation

Bulletin de sécurité HP

http://itrc.hp.com

Gestion détaillée du document

21 novembre 2000

version initiale.