CERTA-2004-AVI-372
Vulnerability from certfr_avis

Un utilisateur local pouvant exécuter des programmes SUID (« Set User ID ») root peut provoquer un déni de service. Il n'est pas exclu que l'exécution de code arbitraire avec les privilèges du super-utilisateur soit également possible.

Description

L'appel système execve est utilisé pour lancer un nouveau programme. Par ailleurs, les systèmes d'exploitation Linux récents utilisent le format d'exécutable ELF (« Executable and Linkable Format »). Pour ces programmes, execve appelle du code dédié pour charger en mémoire le binaire. Ce code ne valide pas bien certains appels et il est alors possible de leurrer le système quand au bon chargement du binaire.

Dans le cas des programmes SUID, le noyau va alors permettre l'exécution avec les droits root d'un code mal formé.

Contournement provisoire

Restreindre à des utilisateurs de confiance l'exécution de programmes SUID.

Solution

Mettre à jour le noyau « vanilla » en version 2.6.10 au moins ou se référer au bulletin de sécurité de l'éditeur.

Les noyaux Gentoo on été mis à jour courant novembre et, bien qu'aucun bulletin de sécurité n'ait été édité, un noyau postérieur au 1er décembre 2004 ne doit plus être vulnérable.

Tout système Linux utilisant un noyau original («vanilla») ou la version d'un éditeur non corrigée.

Impacted products
Vendor Product Description
N/A N/A 2.4 jusqu'au 2.4.27,
N/A N/A 2.6 jusqu'au 2.6.9.
References

Show details on source website

To clipboard 

{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [
    {
      "description": "2.4 jusqu\u0027au 2.4.27,",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "N/A",
          "scada": false
        }
      }
    },
    {
      "description": "2.6 jusqu\u0027au 2.6.9.",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "N/A",
          "scada": false
        }
      }
    }
  ],
  "affected_systems_content": "Tout syst\u00e8me Linux utilisant un noyau original (\u00abvanilla\u00bb)  ou la version d\u0027un \u00e9diteur non corrig\u00e9e.",
  "content": "## Description\n\nL\u0027appel syst\u00e8me execve est utilis\u00e9 pour lancer un nouveau programme. Par\nailleurs, les syst\u00e8mes d\u0027exploitation Linux r\u00e9cents utilisent le format\nd\u0027ex\u00e9cutable ELF (\u00ab Executable and Linkable Format \u00bb). Pour ces\nprogrammes, execve appelle du code d\u00e9di\u00e9 pour charger en m\u00e9moire le\nbinaire. Ce code ne valide pas bien certains appels et il est alors\npossible de leurrer le syst\u00e8me quand au bon chargement du binaire.\n\nDans le cas des programmes SUID, le noyau va alors permettre l\u0027ex\u00e9cution\navec les droits root d\u0027un code mal form\u00e9.\n\n## Contournement provisoire\n\nRestreindre \u00e0 des utilisateurs de confiance l\u0027ex\u00e9cution de programmes\nSUID.\n\n## Solution\n\nMettre \u00e0 jour le noyau \u00ab vanilla \u00bb en version 2.6.10 au moins ou se\nr\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l\u0027\u00e9diteur.\n\nLes noyaux Gentoo on \u00e9t\u00e9 mis \u00e0 jour courant novembre et, bien qu\u0027aucun bulletin de s\u00e9curit\u00e9 n\u0027ait \u00e9t\u00e9 \u00e9dit\u00e9, un noyau post\u00e9rieur au 1er d\u00e9cembre 2004 ne doit plus \u00eatre vuln\u00e9rable.\n",
  "cves": [
    {
      "name": "CVE-2004-1073",
      "url": "https://www.cve.org/CVERecord?id=CVE-2004-1073"
    },
    {
      "name": "CVE-2004-1071",
      "url": "https://www.cve.org/CVERecord?id=CVE-2004-1071"
    },
    {
      "name": "CVE-2004-1072",
      "url": "https://www.cve.org/CVERecord?id=CVE-2004-1072"
    },
    {
      "name": "CVE-2004-1070",
      "url": "https://www.cve.org/CVERecord?id=CVE-2004-1070"
    }
  ],
  "initial_release_date": "2004-11-19T00:00:00",
  "last_revision_date": "2005-01-17T00:00:00",
  "links": [
    {
      "title": "Sources du noyau Linux :",
      "url": "http://www.kernel.org"
    },
    {
      "title": "Bulletin de s\u00e9curit\u00e9 SUSE SuSE-SA:2004:042 du 01 d\u00e9cembre    2004 :",
      "url": "http://www.novell.com/linux/security/advisories/2004_42_kernel.html"
    },
    {
      "title": "Bulletin de s\u00e9curit\u00e9 Secunia du 10 novembre 2004 :",
      "url": "http://secunia.com/advisories/13126"
    },
    {
      "title": "Bulletin de s\u00e9curit\u00e9 Avaya ASA-2005-006 :",
      "url": "http://support.avaya.com/elmodocs2/security/ASA-2005-006_RHSA-2004-549RHSA-2004-505RHSA-2004-689.pdf"
    },
    {
      "title": "Bulletin de s\u00e9curit\u00e9 RedHat RHSA-2004:549-10 du 02 d\u00e9cembre    2004 :",
      "url": "http://rhn.redhat.com/errata/RHSA-2004-549.html"
    }
  ],
  "reference": "CERTA-2004-AVI-372",
  "revisions": [
    {
      "description": "version initiale ;",
      "revision_date": "2004-11-19T00:00:00.000000"
    },
    {
      "description": "ajout des r\u00e9f\u00e9rences CVE CAN-2004-1070, CAN-2004-1071, CAN-2004-1072 et CAN-2004-1073, des bulletins des \u00e9diteurs RedHat et SuSE et du statut de la distribution Gentoo.",
      "revision_date": "2004-12-20T00:00:00.000000"
    },
    {
      "description": "ajout r\u00e9f\u00e9rence au bulletin de s\u00e9curit\u00e9 Avaya ASA-2005-006.",
      "revision_date": "2005-01-17T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Ex\u00e9cution de code arbitraire"
    },
    {
      "description": "D\u00e9ni de service"
    }
  ],
  "summary": "Un utilisateur local pouvant ex\u00e9cuter des programmes SUID (\u00ab Set User ID\n\u00bb) \u003cspan class=\"textit\"\u003eroot\u003c/span\u003e peut provoquer un d\u00e9ni de service.\nIl n\u0027est pas exclu que l\u0027ex\u00e9cution de code arbitraire avec les\nprivil\u00e8ges du super-utilisateur soit \u00e9galement possible.\n",
  "title": "Vuln\u00e9rabilit\u00e9 des noyaux Linux 2.4 et 2.6",
  "vendor_advisories": [
    {
      "published_at": "2004-11-19",
      "title": "Bulletin de s\u00e9curit\u00e9 iSEC Security Research",
      "url": "http://isec.pl/vulnerabilities/isec-0017-binfmt_elf.txt"
    }
  ]
}


Log in or create an account to share your comment.




Tags
Taxonomy of the tags.




Sightings

Author Source Type Date

Nomenclature

  • Seen: The vulnerability was mentioned, discussed, or seen somewhere by the user.
  • Confirmed: The vulnerability is confirmed from an analyst perspective.
  • Published Proof of Concept: A public proof of concept is available for this vulnerability.
  • Exploited: This vulnerability was exploited and seen by the user reporting the sighting.
  • Patched: This vulnerability was successfully patched by the user reporting the sighting.
  • Not exploited: This vulnerability was not exploited or seen by the user reporting the sighting.
  • Not confirmed: The user expresses doubt about the veracity of the vulnerability.
  • Not patched: This vulnerability was not successfully patched by the user reporting the sighting.