S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 30 octobre 2008 No CERTA-2008-AVI-531

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans ftpd

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Cross-site request forgery.

2 Systèmes affectés

• ftpd sur OpenBSD ;
• ftpd sur NetBSD.

3 Résumé

Une vulnérabilité dans ftpd permet à une personne malintentionnée d'effectuer une attaque de type cross-site request forgery.

4 Description

Une vulnérabilité dans la gestion de requêtes longues dans ftpd permet à une personne malintentionnée de réaliser des attaques de type cross-site request forgery. Cette vulnérabilité est la même que celle décrite dans l'avis CERTA-2008-AVI-471.

5 Solution

Se référer aux bulletins de sécurité des éditeurs pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Correction dans le CVS de OpenBSD :

  http://www.openbsd.org/cgi-bin/cvsweb/src/libexec/ftpd/ftpd.c?rev=1.184
  

• Bulletin de sécurité NetBSD 2008-014 du 28 octobre 2008 :

  ftp://ftp.netbsd.org/pub/NetBSD/security/advisories/NetBSD-SA2008-014.txt.asc
  

• Avis CERTA-2008-AVI-471 du 23 septembre 2008 :

  http://www.certa.ssi.gouv.fr/site/CERTA-2008-AVI-471/CERTA-2008-AVI-471.html
  

• Référence CVE CVE-2008-4247 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-4247
  

Gestion détaillée du document

30 octobre 2008

version initiale.