S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 05 août 2005 No CERTA-2005-AVI-296

Affaire suivie par :

CERTA

Objet : Vulnérabilité de apt-cacher

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire.

2 Systèmes affectés

• Debian GNU/Linux 3.1 alias Sarge ;
• Debian GNU/Linux unstable alias Sid ;
• version de apt-cacher antérieure à 0.9.10.

3 Description

La mise à jour d'un système d'exploitation Debian par le réseau, consiste notamment à télécharger sur les sites dédiés à la maintenance les mises à jours disponibles sous la forme de fichiers paquetages (fichiers dont le nom porte l'extenion .deb) ou de fichiers sources.

apt-cacher est un logiciel qui met en ½uvre un cache pour les paquets téléchargés. Sur un site regroupant plusieurs machines Debian, l'utilisation d'un tel cache a pour objectif d'optimiser la connexion à l'Internet.

La version de apt-cacher a une vulnérabilité qui permet à un utilisateur mal intentionné distant de faire exécuter n'importe quelle commande à un système vulnérable.

4 Solution

La version 0.9.10 de apt-cacher corrige la vulnérabilité.

5 Documentation

• Référence CVE :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2005-1854
  

• Avis de sécurité Debian :

  http://www.debian.org/security/2005/dsa-772
  

Gestion détaillée du document

05 août 2005

version initiale.