S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 02 septembre 2004 No CERTA-2004-AVI-293

Affaire suivie par :

CERTA

Objet : Vulnérabilité de Sun xdm

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Déni de service.

2 Systèmes affectés

• Solaris 7 ;
• Solaris 8 ;
• Solaris 9.

3 Résumé

Une vulnérabilité de xdm permet à un utilisateur mal intentionné de provoquer un déni de service.

4 Description

xdm (X Display Manager) est un gestionnaire de sessions d'environnement graphique.

Une vulnérabilité a été découverte dans la gestion des requêtes XDMCP (X Display Manager Control Protocol).

Cette vulnérabilité peut être exploitée par un utilisateur mal intentionné pour provoquer l'arrêt brutal du service xdm.

5 Contournement provisoire

• Pour se protéger des attaques provenant de l'extérieur, filtrer le port 177/udp sur les pare-feux.
• Désactiver la gestion des sessions distantes XDMCP.

  Pour cela, rajouter la ligne suivante

  DisplayManager.requestPort: 0

  dans le fichier /usr/openwin/lib/X11/xdm/xdm-config.

6 Solution

Il n'existe pas de correctif pour les systèmes Solaris 7 et Solaris 8.
Pour le système Solaris 9, appliquer le correctif suivant la plate-forme concernée :

• plate-forme SPARC : correctif 112785-38 ou suivants ;
• plate-forme x86 : correctif 112786-27 ou suivants.

7 Documentation

Bulletin de sécurité Sun #57619 du 09 août 2004 :

http://sunsolve.sun.com/search/document.do?assetkey=1-26-57619-1

Gestion détaillée du document

02 septembre 2004

version initiale.