S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 27 mars 2003 No CERTA-2003-AVI-060-001

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans la bibliothèque zlib

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Déni de service ;
• exécution de code arbitraire à distance.

2 Systèmes affectés

La bibliothèque zlib version 1.1.4.

3 Résumé

La bibliothèque zlib est utilisée pour la compression et la décompression de données par un grand nombre d'applications. Une vulnérabilité a été découverte dans l'une des fonctions de cette bibliothèque.

4 Description

Un débordement de mémoire présent dans la fonction gzprintf de la bibliothèque zlib permet à un individu mal intentionné d'effectuer un déni de service ou d'exécuter du code arbitraire à distance.

5 Solution

Appliquer les correctifs fournis correspondant à la plate-forme :

Bulletin de sécurité Mandrake :

http://www.mandrakesecure.net/en/advisories/advisory.php?name=MDKSA-2003:033

Bulletin de sécurité SCO :

ftp://ftp.sco.com/pub/security/OpenLinux/CSSA-2003-011.0.txt

Bulletin NetBSD :

ftp://ftp.netbsd.org/pub/NetBSD/security/advisories/NetBSD-SA2003-004.txt.asc

6 Documentation

Référence CVE :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0107

Gestion détaillée du document

26 mars 2003

version initiale.

27 mars 2003

ajout de l'avis NetBSD.