S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 13 mars 2006 No CERTA-2006-AVI-102

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans l'installation Ubuntu

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Élévation de privilèges.

2 Systèmes affectés

• Ubuntu 5.10 (Breezy Badger).

3 Description

Le code d'installation de la version Linux Ubuntu 5.10 (aussi appelée Breezy Badger) ne nettoie pas correctement les fichiers de commentaires lors de l'installation. Le mot de passe administrateur peut donc se retrouver en lecture dans le fichier /var/log/installer/cdebconf/questions.dat. Un utilisateur malveillant peut profiter de la lecture du mot de passe pour élever ses privilèges et exécuter localement des commandes.

4 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation). Il est nécessaire de faire une mise à jour automatique, ou plus précisément installer les paquets base-config (2.67ubuntu20) et passwd (1:4.0.3-37ubuntu8).

5 Documentation

• Bulletin de sécurité Ubuntu USN-262-1 du 12 mars 2006 :

  http://www.ubuntulinux.org/usn/usn-262-1
  

• Référence CVE CVE-2006-1183 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-1183
  

Gestion détaillée du document

13 mars 2006

version initiale.