S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 02 décembre 2004
N° CERTA-2004-AVI-385-002
Affaire suivie par: CERT-FR
le 02 décembre 2004

Avis du CERT-FR

Objet: Vulnérabilité dans OpenSSL

Gestion du document

Référence CERTA-2004-AVI-385-002
Titre Vulnérabilité dans OpenSSL
Date de la première version 02 décembre 2004
Date de la dernière version 06 décembre 2004
Source(s) Avis de sécurité Debian DSA-603 du 01 décembre 2004
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Elévation de privilèges.

Systèmes affectés

OpenSSL versions 0.9.6m, 0.9.7d et 0.9.7e.

Résumé

Une vulnérabilité a été découverte dans certaines versions d'OpenSSL, permettant à un utilisateur local mal intentionné d'élever ses privilèges.

Description

Une vulnérabilité présente dans le script der_chop permet à un utilisateur local mal intentionné, en utilisant un lien symbolique, de créer ou d'écraser certains fichiers temporaires avec les privilèges de l'utilisateur ayant lancé le script.

Solution

Appliquer le correctif corrigeant cette faille suivant la distribution affectée (cf. Documentation).

Documentation

Gestion détaillée du document

    le 31 août 2004
    ajout de la référence au bulletin de sécurité Avaya.
    le 02 décembre 2004
    version initiale.
    le 06 décembre 2004
    ajout de la référence au bulletin de sécurité Mandrake.