Avis du CERT-FR
Objet : Vulnérabilités dans la bibliothèque neon
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Attaque de type homme-au-milieu
- Déni de service à distance
Systèmes affectés
neon versions 0.28.5 et antérieures.
Résumé
Deux vulnérabilités dans neon permettent de réaliser des attaques de type homme-au-milieu ou un déni de service à distance.
Description
Deux vulnérabilités ont été découvertes dans neon :
- un déni service est possible, via des fichiers au format XML ou un serveur DAV malveillant, si la bibliothèque expat est utilisée (CVE-2009-2473) ;
- le mécanisme de vérification des certificats utilisés lors de sessions SSL peut être contourné, ce qui permet des attaques de type homme-au-milieu (CVE-2009-2474).
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Annonce de la version 0.28.6 de neon du 18 août 2009
http://lists.manyfish.co.uk/pipermail/neon/2009-August/001044.html -
Descriptif des vulnérabilités corrigées :
http://lists.manyfish.co.uk/pipermail/neon/2009-August/001045.html -
Descriptif des vulnérabilités corrigées :
http://lists.manyfish.co.uk/pipermail/neon/2009-August/001046.html -
Référence CVE CVE-2009-2473
https://www.cve.org/CVERecord?id=CVE-2009-2473 -
Référence CVE CVE-2009-2474
https://www.cve.org/CVERecord?id=CVE-2009-2474
Gestion détaillée du document
| Date | Description |
|---|---|
| 25 août 2009 | version initiale. |