S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 24 janvier 2002 No CERTA-2002-AVI-011

Affaire suivie par :

CERTA

Objet : Vulnérabilités dans la fonction libgtop

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Obtention d'un compte à distance.

2 Systèmes affectés

Les versions de libgtop antérieures à la version 1.0.6-1.1.

3 Résumé

Un utilisateur mal intentionné peut obtenir un compte sur le système.

4 Description

Le démon libgtop présente deux vulnérabilités : une de type chaîne de format, et une autre de type débordement de mémoire.

La première peut être utilisée pour exécuter du code arbitraire, et la seconde peut servir à un utilisateur mal intentionné pour obtenir un compte sur le système.

Comme le démon libgtop est lancé sous l'utilisateur nobody, les droits obtenus en exploitant ces vulnérabilités sont ceux de l'utilisateur nobody.

5 Solution

Contactez votre éditeur pour obtenir une mise à jour.

6 Documentation

Avis de sécurité Debian DSA-098-1 :

http://www.debian.org/security/2002/dsa-098

Gestion détaillée du document

24 janvier 2002

version initiale.