S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 12 août 2005
N° CERTA-2005-AVI-311-002
Affaire suivie par: CERT-FR
le 12 août 2005

Avis du CERT-FR

Objet: Multiples vulnérabilités dans Gaim

Gestion du document

Référence CERTA-2005-AVI-311-002
Titre Multiples vulnérabilités dans Gaim
Date de la première version 12 août 2005
Date de la dernière version 31 août 2005
Source(s) Bulletin de sécurité Red Hat
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire à distance ;
  • déni de service.

Systèmes affectés

Gaim version 1.4.0 et version antérieures.

Description

Les trois vulnérabilités suivantes ont été découverte dans le logiciel Gaim :

  • Un débordement de pile dans la gestion des messages d'abscence d'AIM et ICQ peut être utilisé par une personne mal intentionnée pour exécuter du code arbitraire à distance ;
  • une mauvaise gestion dans le processus d'envoi de fichier permet à un utilisateur mal intentionnée de stopper à distance le logiciel grâce à l'envoi d'un fichier dont le nom aurait été malicieusement construit ;
  • une mauvaise gestion des messages permet à un utilisateur mal intentionnée de stopper à distance le logiciel grâce à l'envoi d'un message malicieusement construit. Cette vulnérabilité n'affecte que les versions de Gaim conçues pour les systèmes PPC et IBM S/390.

Solution

Mettre à jour en version 1.5.0 : 

http://gaim.sourceforge.net/downloads.php

Documentation

Gestion détaillée du document

    le 12 août 2005
    version initiale.
    le 18 août 2005
    ajout des bulletins de sécurité OpenBSD et FreeBSD.
    le 31 août 2005
    ajout des bulletins de sécurité Mandriva, Gentoo et SuSE.