S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 17 janvier 2005 No CERTA-2004-AVI-198-001

Affaire suivie par :

CERTA

Objet : Multiples vulnérabilités sous IRIX

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Elévation de privilèges ;
• déni de service.

2 Systèmes affectés

3 Description

Selon SGI, une vulnérabilité présente dans la primitive système syssgi appellée avec l'argument SGI_IOPROBE peut être utilisée par un utilisateur mal intentionné pour lire ou même écrire dans l'espace mémoire du noyau et réaliser ainsi une élévation de privilèges.

Deux vulnérabilités permettant de réaliser un déni de service local sont également présentes :

• faille dans mapelf32exec() (CVE CAN-2004-136) ;
• faille dans init (CAN-2004-137).

4 Solution

Se référer au bulletin de sécurité de l'éditeur (cf. section Documentation) pour l'obtention des correctifs.

5 Documentation

• Bulletin de sécurité SGI 20040601-01-P du 14 juin 2004 :

  ftp://patches.sgi.com/support/free/security/advisories/20040601-01-P.asc
  

• Bulletin de sécurité Avaya ASA-2005-006 :

  http://support.avaya.com/elmodocs2/security/ASA-2005-006_RHSA-2004-549RHSA-2004-505RHSA-2004-689.pdf
  

• Référence CVE CAN-2004-0135 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2004-0135
  

• Référence CVE CAN-2004-0136 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2004-0136
  

• Référence CVE CAN-2004-0137 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2004-0137
  

Gestion détaillée du document

15 juin 2004

version initiale.

17 janvier 2005

ajout référence au bulletin de sécurité Avaya ASA-2005-006.