Avis du CERT-FR
Objet : Vulnérabilité dans bzip2
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Déni de service à distance
Systèmes affectés
bzip2, version 1.0.5 et versions précédentes.
Les logiciels utilisant le code vulnérable sont concernés (liste non exhaustive) :
- Clamav, version 0.96.2 et versions précédentes ;
- FreeBSD, branches 6, 7 et8.
Résumé
Une vulnérabilité dans bzip2 permet à un utilisateur malveillant de provoquer un déni de service à distance.
Description
Un débordement d'entier dans la fonction de décompression est exploitable par un utilisateur malveillant pour provoquer un déni de service à distance par la soumission d'un fichier compressé spécialement conçu.
La possibilité d'exécuter du code arbitraire à distance est suspectée, mais non démontrée.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Annonce du projet bzip du 20 septembre 2010
http://www.bzip.org/index.html -
Bulletin de sécurité Debian DSA-2112-1 du 20 septembre 2010 :
http://www.debian.org/security/2010/dsa-2112 -
Bulletin de sécurité FreeBSD-SA-10:08 du 20 septembre 2010 :
http://security.freebsd.org/advisories/FreeBSD-SA-10:08.bzip2.asc -
Bulletin de sécurité RedHat RHSA-2010:0703-1 du 20 septembre 2010 :
http://rhn.redhat.com/errata/RHSA-2010-0703.html -
Bulletin de sécurité SUSE SUSE-SA:2010:018 du 06 octobre 2010 :
http://lists.opensuse.org/opensuse-security-announce/2010-10/msg00000.html -
Bulletin de sécurité Sun du 26 novembre 2010 :
http://blogs.sun.com/security/entry/cve_2010_0405_integer_overflow -
Bulletin de sécurité Ubuntu USN-986-1 du 20 septembre 2010 :
http://www.ubuntu.com/usn/usn-986-1 -
Bulletin de sécurité Ubuntu USN-986-2 du 20 septembre 2010 :
http://www.ubuntu.com/usn/usn-986-2 -
Bulletin de sécurité Ubuntu USN-986-3 du 20 septembre 2010 :
http://www.ubuntu.com/usn/usn-986-3 -
Changements dans la version ClamAV 0.96.3 du 20 septembre 2010 :
http://git.clamav.net/gitweb?p=clamav-devel.git;a=blob_plain;f=ChangeLog;hb=clamav-0.96.3 -
Référence CVE CVE-2010-0405
https://www.cve.org/CVERecord?id=CVE-2010-0405
Gestion détaillée du document
| Date | Description |
|---|---|
| 22 septembre 2010 | version initiale. |
| 29 novembre 2010 | ajout des bulletins des distibutions Debian, RedHat, Sun, Suse et Ubuntu. |