S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 16 mai 2006
N° CERTA-2006-AVI-199-001
Affaire suivie par: CERT-FR
le 16 mai 2006

Avis du CERT-FR

Objet: Vulnérabilité de l’outil Nagios

Gestion du document

Référence CERTA-2006-AVI-199-001
Titre Vulnérabilité de l’outil Nagios
Date de la première version 16 mai 2006
Date de la dernière version 24 mai 2006
Source(s) Bulletin de mise à jour Nagios
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire à distance ;
  • déni de service à distance.

Systèmes affectés

  • Nagios versions antérieures à la version 1.4.1 ;
  • Nagios versions antérieures à la version 2.3.1 ;

Description

Deux vulnérabilités de type débordement de variable ont été découvertes dans Nagios. Ces vulnérabilités peuvent être exploitées par un utilisateur distant par le biais d'une entête HTTP spécialement conçue.

L'exploitation de cette vulnérabilité permet d'effectuer un déni de service et/ou une compromission de la machine à distance.

Solution

Les versions sources 1.4.1 et 2.3.1 corrigent cette vulnérabilité (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 16 mai 2006
    version initiale ;
    le 24 mai 2006
    deux vulnérabilité du même type au lieu d'une ; ajout des références CVE correspondantes, ajout des bulletins de sécurité Ubuntu, Debian, Gentoo et SUSE.