S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 17 février 2011 No CERTA-2011-AVI-094

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans shadow

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Contournement de la politique de sécurité.

2 Systèmes affectés

3 Résumé

4 Description

Un défaut de vérification des entrées des utilisateurs est présent dans les utilitaires chfn et chsh du paquet shadow. Ce défaut est exploitable par un utilisateur malveillant pour créer des utilisateurs ou corrompre des mots de passe.

5 Solution

Se référer aux bulletins des distributions Linux pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletin de sécurité Debian DSA 2164 du 16 février 2011 :

  http://www.debian.org/security/2011/dsa-2164
  

• Bulletin de sécurité Ubuntu USN-1065-1 du 15 février 2011 :

  http://www.ubuntulinux.org/usn/usn-1065-1
  

• Référence CVE CVE-2011-0721 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-0721
  

Gestion détaillée du document

17 février 2011

version initiale.