Avis du CERT-FR
Objet : Vulnérabilité de la commande file
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Exécution de code arbitraire
Systèmes affectés
Les versions de file antérieures à 3.41 sont vulnérables.
La version 3.41 de file corrige cette vulnérabilité.
Résumé
Une vulnérabilité de type débordement de mémoire est présente dans la commande file.
Description
La commande file présente sur de nombreux systèmes Unix/Linux est utilisée pour déterminer le type d'un fichier.
Une vulnérabilité de type débordement de mémoire est présente dans la routine de traitement des en-têtes de fichiers ELF (Executable and Linking Format).
En utilisant la commande file pour déterminer le type d'un fichier habilement constitué, un utilisateur peut déclencher l'exécution d'un code arbitraire contenu dans ce fichier.
Solution
Appliquer le correctif fourni par l'éditeur (Cf. section Documentation).
Documentation
-
Bulletin de sécurité 03.04.03 "Locally exploitable buffer overflow in file" d'iDEFENSE :
http://www.idefense.com/advisory/03.04.03.txt -
Bulletin de sécurité DSA-260-1 de Debian :
http://www.debian.org/security/ -
Bulletin de sécurité MDKSA-2003:030 de Mandrake :
http://www.mandrakesecure.net/en/advisories/advisory.php?name=MDKSA-2003:030 -
Bulletin de sécurité NetBSD-SA2003-003 de NetBSD :
ftp://ftp.netbsd.org/pub/NetBSD/security/advisories/NetBSD-SA2003-003.txt.asc -
Bulletin de sécurité RHSA-2003:086 de Red Hat :
http://rhn.redhat.com/errata/RHSA-2003-086.html -
Bulletin de sécurité SuSE-SA:2003:017 de SuSE :
http://www.suse.com/de/security/2003_017_file.html
Gestion détaillée du document
| Date | Description |
|---|---|
| 10 mars 2003 | version initiale. |
| 13 mars 2003 | ajout référence au bulletin de sécurité de Debian. |
| 21 mars 2003 | ajout référence au bulletin de sécurité de NetBSD. |
| 24 mars 2003 | ajout référence au bulletin de sécurité de SuSE. Ajout référence CVE. |