S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 04 décembre 2009 No CERTA-2009-AVI-363-002

Affaire suivie par :

CERTA

Objet : Vulnérabilité de wget

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Contournement de la politique de sécurité ;
• atteinte à la confidentialité des données.

2 Systèmes affectés

• wget versions antérieures à la version 1.12 ;
• Solaris 9 sur SPARC avec le patch 125326-01 ;
• Solaris 10 sur SPARC sans le patch 125215-03 ;
• OpenSolaris sur SPARC de svn_01 à svn _125 ;
• Solaris 9 sur x86 avec le patch 125327-01 ;
• Solaris 10 sur x86 sans le patch 125216-03 ;
• OpenSolaris sur x86 de svn_01 à svn_125.

3 Résumé

4 Description

Note : certains logiciels, en particulier certains gestionnaires de téléchargement, peuvent se servir d'une version non corrigée de wget.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• notes de changements de wget du 27 août 2009 :

  http://hg.addictivecode.org/wget/mainline/rev/1eab157d3be7
  

• Bulletin de sécurité Debian DSA-1904 du 09 octobre 2009 :

  http://www.debian.org/security/2009/dsa-1904
  

• Bulletin de sécurité Ubuntu USN-842 du 06 octobre 2009 :

  http://www.ubuntu.com/usn/USN-842-1
  

• Référence CVE CVE-2009-3490 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3490
  

• Bulletin de sécurité Sun 1-66-273590-1 du 2 décembre 2009 :

  http://sunsolve.sun.com/search/document.do?assetkey=1-66-273590-1
  

Gestion détaillée du document

02 septembre 2009

version initiale.

12 octobre 2009

ajout des références aux bulletins de sécurité Debian et Ubuntu, et de la référence CVE.

04 décembre 2009

ajout des références aux bulletins de sécurité Sun et des systèmes affectés correspondants.