S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 30 mai 2005 No CERTA-2005-AVI-184

Affaire suivie par :

CERTA

Objet : Vulnérabilité de kommander

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire.

2 Systèmes affectés

• kde ;
• Gentoo : toute les versions de kde-base/kdewebdev antérieures à 3.3.2-r2

3 Résumé

Une vulnérabilité dans le logiciel Kommander permet à un utilisateur distant mal intentioné d'exécuter du code arbitraire.

4 Description

Le logiciel KDE offre un environnement graphique de type « bureau » aux utilisateurs des postes de travail Unix. Le logiciel Kommander est un environnement de développement visuel et d'exécution d'applications basées sur des enchaînements de fenêtres de dialogue associées à des scripts.

Le logiciel Kommander exécute des scripts distants sans demander de confirmation. Ce mode de fonctionnement permet à une utilisateur distant mal intentionné de faire exécuter du code arbitraire.

5 Solution

Appliquer le correctif de sécurité.

6 Documentation

• Avis de sécurité :
  • Avis de sécurité KDE :

    http://www.kde.org/info/secuity/advisory-20050420-1.txt
    

  • Avis de sécurité Gentoo :

    http://www.gentoo.org/security/en/glsa/glsa-200504-23.xml
    

• Description de la vulnérabilité
  • Dictionnaire CVE :

    http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2005-0754
    

Gestion détaillée du document

30 mai 2005

version initiale.