S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 07 octobre 2008 No CERTA-2008-AVI-486

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans le protocole ndp de IPv6

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Déni de service à distance ;
• contournement de la politique de sécurité ;
• atteinte à la confidentialité des données.

2 Systèmes affectés

• OpenBSD 4.2, 4.3 ;
• FreeBSD 6.3, 7.0 ;
• Serveurs IBM zSeries ;
• Produits Juniper Networks.

Pour une liste exhaustive des produits affectés, se référer au bulletin de l'US-CERT.

3 Résumé

Une vulnérabilité dans certaines implémentations du protocole Neighbor Discovery Protocol IPv6 permet à une personne malintentionnée d'effectuer un déni de service à distance, de contourner la politique de sécurité et/ou de porter atteinte à la confidentialité des données.

4 Solution

Se référer au bulletin de sécurité des éditeurs pour l'obtention des correctifs (cf. section Documentation).

5 Documentation

• Bulletin de sécurité FreeBSD-SA-08:10.nd6 du 01 octobre 2008 :

  http://security.freebsd.org/advisories/FreeBSD-SA-08:10.nd6.asc
  

• Bulletin de sécurité OpenBSD :

  http://openbsd.org/errata43.html#006_ndp
  

• Note de vulnérabilité de l'US-CERT VU#472363 du 02 octobre 2008 :

  http://www.kb.cert.org/vuls/id/472363
  

• Référence CVE CVE-2008-2476 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-2476
  

• Référence CVE CVE-2008-4404 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-4404
  

Gestion détaillée du document

07 octobre 2008

version initiale.