S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 19 septembre 2002 No CERTA-2002-AVI-209-001

Affaire suivie par :

CERTA

Objet : Vulnérabilités sur HP Tru64 Unix

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Déni de service ;
• élévation de privilèges.

2 Systèmes affectés

HP Tru64 Unix versions 5.1a, 5.1, 5.0a, 4.0g et 4.0f.

Nota : les anciennes versions de Tru64/OSF1 (versions 3.x) sont susceptibles de présenter des vulnérabilités, mais ne sont plus maintenues par l'éditeur. Il est recommandé de mettre à jour ces systèmes à la version Tru64 Unix 5.1.

3 Résumé

Des vulnérabilités présentes sur le système HP Tru64 Unix permettent à un utilisateur mal intentionné de réaliser un déni de service ou d'exécuter du code arbitraire.

4 Description

• Vulnérabilité SSRT2229

  Un utilisateur mal intentionné peut exploiter une vulnérabilité de la commande usr/sbin/ping pour effectuer une attaque de type déni de service sur le système.

  Cette vulnérabilité n'est exploitable qu'en local.
  

• Vulnérabilté SSRT2275

  Plusieurs commandes présentent des vulnérabilités de type débordement de mémoire, qui peuvent être exploitées pour obtenir les droits de l'administratreur root.

  Ces vulnérabilités peuvent être exploitées , suivant les commandes, soit en local soit à distance.

5 Solution

Appliquer le correctif correspondant à la version de votre système (cf. section Documentation).

6 Documentation

Avis de sécurité HP SSRT2229 et SSRT2275 :

http://wwss1pro.compaq.com/support/reference_library/viewdocument.asp?source=SRB0039W.xml&dt=11

Support HP :

http://www.itrc.com

Gestion détaillée du document

17 septembre 2002

version initiale.

19 septembre 2002

première révision : ajout d'une note concernant les anciennes versions de Tru64/OSF1.