Avis du CERT-FR
Objet : Vulnérabilités dans HP-UX
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Déni de service à distance
- Exécution de code arbitraire à distance
Systèmes affectés
- HP-UX 11.x.
Résumé
Deux vulnérabilités découvertes dans la mise en œuvre du service NTP dans HP-UX permettent à un utilisateur malintentionné de provoquer un déni de service ou d'exécuter du code arbitraire à distance.
Description
Une vulnérabilité de type débordement de mémoire est présente dans la fonction cookedprint(). Elle peut être exploitée au moyen d'un paquet spécialement construit afin de provoquer un déni de service ou d'exécuter du code arbitraire.
Une seconde vulnérabilité de type débordement de mémoire présente dans la fonction crypto_recv() peut être exploitée à distance au moyen d'un paquet spécialement construit envoyé au démon xntpd.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité HP #c01763606 du 21 juillet 2009
http://h20000.www2.hp.com/bizsupport/TechSupport/Document/.jsp?objectID=c01763606 -
Avis de sécurité CERTA-2009-AVI-195 du 19 mai 2009 :
http://www.certa.ssi.gouv.fr/site/CERTA-2009-AVI-195/CERTA-2009-AVI-195.html -
Bulletin de sécurité HP #c01961959 du 23 mars 2010 :
http://h20000.www2.hp.com/bizsupport/TechSupport/Document/.jsp?objectID=c01961959 -
Référence CVE CVE-2009-0159
https://www.cve.org/CVERecord?id=CVE-2009-0159 -
Référence CVE CVE-2009-1252
https://www.cve.org/CVERecord?id=CVE-2009-1252
Gestion détaillée du document
| Date | Description |
|---|---|
| 27 juillet 2009 | version initiale. |
| 26 mars 2010 | ajout de la référence au bulletin de sécurité HP #01961959. |