Marianne ANSSI

CERTA

Centre d'Expertise Gouvernemental de
Réponse et de Traitement des Attaques informatiques

liseret droit

Contact

Contacter le CERTA

Contact us ( Drapeau anglais )

A propos du site

Recherche

Rechercher sur le site

Les documents du CERTA

Les alertes en cours

Les bulletins d'actualité

Les notes d'information

Année en cours

Les Flux RSS du CERTA

Flux RSS complet
Flux RSS des alertes

Informations utiles

Que faire en cas d'intrusion ?

Les mémentos du CERTA

Les systèmes obsolètes

CERTA-2002-AVI-078

Imprimer ce document

A propos du CERTA

Archives du CERTA

S . G . D . S . N
Agence nationale
de la sécurité des
systèmes d'information

République Française

Paris, le 16 avril 2002
N^o CERTA-2002-AVI-078

Affaire suivie par :

CERTA

AVIS DU CERTA

Objet : Vulnérabilité de mail sous OpenBSD

Conditions d'utilisation de ce document :	http://www.certa.ssi.gouv.fr/certa/apropos.html
Dernière version de ce document :	http://www.certa.ssi.gouv.fr/site/CERTA-2002-AVI-078

Gestion du document

Tableau 1: gestion du document

Référence	CERTA-2002-AVI-078
Titre	Vulnérabilité de mail sous OpenBSD
Date de la première version	16 avril 2002
Date de la dernière version	-
Source(s)	Avis de sécurité #18 (OpenBSD 3.0) et #23 (OpenBSD 2.9)
Pièce(s) jointe(s)	Aucune

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Elévation de privilèges.

2 Systèmes affectés

OpenBSD versions 2.9 et 3.0.

3 Résumé

Une vulnérabilité présente dans la commande /usr/bin/mail permet à un utilisateur mal intentionné d'obtenir les privilèges de l'administrateur (root).

4 Description

Certains caractères de contrôle peuvent être utilisés à l'intérieur d'un mél pour spécifier une commande à exécuter via l'interpréteur de commandes.

La commande /usr/bin/mail interprète ces caractères même si elle n'est pas exécutée en mode interactif. Un utilisateur mal intentionné peut ainsi forcer l'exécution de commandes avec les privilèges de l'administrateur (root) lors du lancement des scripts programmés (cron) installés par défaut et utilisant la commande /usr/bin/mail.

5 Solution

Appliquer le correctif mentionné dans les avis de sécurité d'OpenBSD (cf. section Documentation).

6 Documentation

Avis de sécurité OpenBSD 2.9 :

http://www.openbsd.org/errata29.html#mail

Avis de sécurité OpenBSD 3.0 :

http://www.openbsd.org/errata.html#mail

Gestion détaillée du document

16 avril 2002: version initiale.

CERTA
2012-01-04

liserest gauche

Premier Ministre / Secrétariat Général de la Défense et de la Sécurité Nationale / Agence nationale de la sécurité des systèmes d'information

Dernière mise à jour : le 18/05/2012