S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 22 octobre 2004 No CERTA-2004-AVI-354

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans HP-UX

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Elévation de privilèges.

2 Systèmes affectés

Les versions suivantes du système d'exploitation HP-UX sont affectées :

• HP-UX B.11.00 ;
• HP-UX B.11.11 ;
• HP-UX B.11.22 ;
• HP-UX B.11.23.

3 Résumé

Une vulnérabilité présente dans le système d'exploitation HP-UX permet à un utilisateur local mal intentionné d'élever ses privilèges.

4 Description

La commande stmkfont présente une vulnérabilité dans le traitement de variables externes. Un utilisateur mal intentionné peut ainsi élever ses privilèges et exécuter des commandes arbitraires avec les droits du groupe bin.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletin de sécurité NSFOCUS (SA2004-02) du 20 ocotbre 2004 :

  http://www.nsfocus.com/english/homepage/research/0402.htm
  

• Bulletin de sécurité HP (HPSBUX01088) du 20 octobre 2004 :

  http://www4.itrc.hp.com/service/cki/docDisplay.do?docId=HPSBUX01088
  

• Référence CVE CAN-2004-0965 :

  http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2004-0965
  

Gestion détaillée du document

22 octobre 2004

version initiale.