S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 12 mars 2002 No CERTA-2002-AVI-052

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans la librairie zlib / libz

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Exécution de code arbitraire à distance ;
• deni de service.

2 Systèmes affectés

3 Résumé

4 Description

Un débordement de mémoire présent dans la routine de décompression permet à un utilisateur mal intentionné d'exécuter du code arbitraire ou de réaliser un déni de service. Cette vulnérabilité est due à un double appel de la fonction de libération de la mémoire : la fonction free.

Beaucoup d'applications utilisent cette bibliothèque « dynamiquement » mais certaines applications ont leur propre version de cette bibliothèque. Il est alors nécessaire de mettre à jour ces applications. Les applications concernées sont (se référer à la section documentation) :

• amaya
• dictd
• erlang
• freeamp
• mirrordir
• ppp
• rsync
• vrweb
• gpg
• cvs
• rrdtool
• netscape
• vnc
• kernel
• rpm

5 Solution

6 Documentation

• Avis de sécurité RHSA-2002:027 de Redhat :

  http://www.redhat.com/support/errata/RHSA-2002-027.html
  

• Avis de sécurité SuSE-SA:2002:010 :

  http://www.suse.com/us/support/security/
  

• Site officiel d'amaya

  http://www.w3c.org/Amaya
  

• Site officiel de dictd

  http://www.dict.org
  

• Site officiel de erlang

  http://www.erlang.org
  

• Site officiel de freeamp

  http://www.freeamp.org
  

• Site officiel de mirrordir

  http://mirrordir.sourceforge.net
  

• Site officiel de ppp

  http://www.samba.org/ppp
  

• Site officiel de rsync

  http://www.rsync.org
  

• Site officiel de vrweb

  http://www.iicm.edu/vrweb
  

• Site officiel de gpg

  http://www.gnupg.org
  

• Site officiel de cvs

  http://www.cvshome.org
  

• Site officiel de rrdtool

  http://people.ee.ethz.ch/~oetiker/webtools/rrdttool
  

• Site officiel de netscape

  http://www.netscape.com
  

• Site officiel de vnc

  http://www.uk.research.att.com/vnc/
  

• Site officiel du kernel

  http://www.kernel.org
  

• Site officiel de rpm

  http://www.rpm.org
  

Gestion détaillée du document

12 mars 2002

version initiale.