Avis du CERT-FR
Objet : Vulnérabilités dans Cygwin
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Contournement de la politique de sécurité
- Exécution de code arbitraire à distance
Systèmes affectés
- Les versions antérieures à 2.573.2.3.
Résumé
Des vulnérabilités ont été identifiées dans l'application Cygwin. L'une d'elles, en particulier, permet à une personne malveillante d'exécuter sous certaines conditions du code arbitraire sur un système vulnérable.
Description
Des vulnérabilités ont été identifiées dans l'application Cygwin. L'application ne vérifie pas correctement l'identité du serveur de téléchargement, permettant ainsi à une personne malveillante de faire télécharger sous certaines conditions une application non légitime sur le système.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Annonce de changement de version Cygwin du 05 août 2008 :
http://cygwin.com/ml/cygwin-announce/2008-08/msg00001.html -
Avis de sécurité de Security Objectives SECOBJADV-2008-02 du 25 juillet 2008 :
http://www.security-objectives.com/advisories/SECOBJADV-2008-02.txt -
Site de téléchargement de la dernière version de Cygwin :
http://cygwin.com/setup/snapshots/setup-2.573.2.3.exe -
Référence CVE CVE-2008-3323
https://www.cve.org/CVERecord?id=CVE-2008-3323
Gestion détaillée du document
| Date | Description |
|---|---|
| 12 août 2008 | version initiale. |