Avis du CERT-FR
Objet : Vulnérabilité de la commande at
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Élévation de privilèges
Systèmes affectés
at Version 3.1.8 ou antérieures.
Résumé
at est un utilitaire qui permet l'exécution d'une commande à une heure spécifiée.
Une vulnérabilité présente dans at permet à un utilisateur mal intentionné de prendre les droits du super-utilisateur sur la machine.
Description
Le problème est dû à l'analyseur syntaxique qui désalloue la même allocation de mémoire deux fois.
Un utilisateur peut exploiter cette vulnérabilité pour réaliser une élévation de privilèges. Cette vulnérabilité n'est exploitable qu'en local.
Solution
Installer les mises à jour disponibles sous forme de paquetage pour les distributions Linux (cf. section Documentation).
Documentation
-
Avis de sécurité DSA-102 de Debian :
http://www.debian.org/security/2002/dsa-102 -
Avis de sécurité MDKSA-2002:007 de Mandrake :
http://www.mandrakesecure.net/en/advisories/2002/MDKSA-2002-007.php -
Avis de sécurité SuSE-SA:2002:003 de SuSE :
http://www.suse.com/us/support/security
Gestion détaillée du document
| Date | Description |
|---|---|
| 21 janvier 2002 | version initiale. |