S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 08 septembre 2004 No CERTA-2004-AVI-282-003

Affaire suivie par :

CERTA

Objet : Vulnérabilité de la bibliothèque zlib

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Déni de service.

2 Systèmes affectés

3 Résumé

4 Description

Une mauvaise gestion des erreurs dans les fonctions inflate() et inflateBack() permet à un utilisateur mal intentionné de provoquer un déni de service sur toute application utilisant la bibliothèque zlib.

5 Solution

6 Documentation

• Site Internet de zlib :

  http://www.gzip.org/zlib/
  

• Bulletin de sécurité Gentoo GLSA-200408-26 du 27 août 2004 :

  http://www.gentoo.org/security/en/glsa/glsa-200408-26.xml
  

• Bulletin de sécurité SuSE SuSE-SA:2004:029 du 2 septembre 2004 :

  http://www.suse.com/de/security/2004_29_zlib.html
  

• Bulletin de sécurité Mandrake MDKSA-2004:090 du 8 septembre 2004 :

  http://www.mandrakesoft.com/security/advisories?name=MDKSA-2004:090
  

• Bulletin de sécurité OpenBSD pour zlib du 29 août 2004 :

  http://www.openbsd.org/errata.html#libz
  

• Mise à jour de sécurité du paquetage NetBSD zlib :

  ftp://ftp.netbsd.org/pub/NetBSD/packages/pkgsrc/devel/zlib/README.html
  

• Référence CVE CAN-2004-0797 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2004-0797
  

Gestion détaillée du document

31 août 2004

version initiale.

01 septembre 2004

ajout de la référence au bulletin de sécurité NetBSD et du site Internet de zlib.

03 septembre 2004

ajout de la référence au bulletin de sécurité SuSE.

08 septembre 2004

ajout de la référence au bulletin de sécurité de Mandrake.