S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 13 janvier 2005 No CERTA-2005-AVI-013

Affaire suivie par :

CERTA

Objet : Vulnérabilité de poppassd_pam

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Atteinte à la confidentialité des données ;
• déni de service.

2 Systèmes affectés

• poppassd_ceti 1.0 et versions antérieures ;
• poppassd_pam 1.0 et vesions antérieures.

3 Description

poppassd_pam est une bibliothèque utilisée pour modifier les mots de passes des serveurs POP.

Une vulnérabilité découverte dans la bibliothèque poppassd_pam permet à utilisateur distant mal intentionné de changer le mot de passe de n'importe quel utilisateur du système vulnérable, y compris le mot de passe du compte root (administrateur). Cette vulnérabilité est causée par une mauvaise vérification de l'ancien mot de passe.

4 Solution

Se réferer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. Documentation).

5 Documentation

• Bulletin de sécurité Gentoo GLSA-200501-22 du 11 janvier 2005 :

  http://www.gentoo.org/security/en/glsa/glsa-200501-22.xml
  

• Référence CVE CAN-2005-0002 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2005-0002
  

Gestion détaillée du document

13 janvier 2005

version initiale.