S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 20 novembre 2008 No CERTA-2008-AVI-302-002

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans Net-SNMP

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Contournement de la politique de sécurité.

2 Systèmes affectés

Net-SNMP 5.x. D'autres implémentations sont vulnérables, telles que UCD-SNMP.

3 Résumé

Une vulnérabilité affectant Net-SNMP permet à une personne malintentionnée de contourner la politique de sécurité.

4 Description

Une vulnérabilité a été identifiée dans Net-SNMP. Une faille dans la vérification des HMAC d'authentification permet à une personne d'usurper des paquets et donc de contourner la politique de sécurité.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Annonce de sécurité Net-SNMP du 09 juin 2008 :

  http://sourceforge.net/forum/forum.php?forum_id=833770
  

• Alerte de sécurité de l'US-CERT TA08-162A du 10 juin 2008 :

  http://www.us-cert.gov/cas/techalerts/TA08-162A.html
  

• Bulletin de sécurité Debian du 09 novembre 2008 :

  http://www.debian.org/security/2008/dsa-1663
  

• Référence CVE CVE-2008-0960 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-0960
  

Gestion détaillée du document

10 juin 2008

version initiale ;

11 juin 2008

ajout de la référence à l'alerte de l'US-CERT ;

20 novembre 2008

ajout de la référence debian.