S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 15 octobre 2002 No CERTA-2002-AVI-228

Affaire suivie par :

CERTA

Objet : Vulnérabilité des systèmes AIX de IBM

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Déni de service.

2 Systèmes affectés

• IBM AIX 4.3.0 (version 433) ;
• IBM AIX 5L POWER (version 510).

3 Résumé

Une vulnérabilité de la gestion des paquets TCP par le système AIX d'IBM permet à un utilisateur mal intentionné d'effectuer un déni de service à distance sur la machine cible.

4 Description

La fonction tcp_input0() de gestion des paquets TCP entrant et sortant ne vide pas correctement la mémoire tampon mbuf dans certaines conditions.

Un utilisateur mal intentionné peut fabriquer des paquets TCP de façon à faire déborder la mémoire tampon.

Ce débordement de mémoire peut conduire à un déni de service ou figer complètement le système.

5 Solution

• Appliquer le correctif APAR pour AIX 4.3.0 (version 433) conformément au bulletin de sécurité IY 31641 de IBM.
• Appliquer le correctif APAR pour AIX 5L POWER (version 510) conformément au bulletin de sécurité IY 31940 de IBM.

6 Documentation

• Bulletin de sécurité IY 31641 de IBM :

  http://techsupport.services.ibm.com/server/aix.uhuic_getrec?args=DVsteamboat.boulder.ibm.com+DBAIX2+DA10115+STIY31641+USbin
  

• Bulletin de sécurité IY 31940 de IBM :

  http://techsupport.services.ibm.com/server/aix.uhuic_getrec?args=DVsteamboat.boulder.ibm.com+DBAIX2+DA7811+STIY31641+USbin
  

Gestion détaillée du document

15 octobre 2002

version initiale.