Avis du CERT-FR

Description

K Desktop Environnement (KDE) fournit une interface pour différents protocoles réseau (HTTP, FTP, POP, SMB,...) via le système KDE Input Output (KIO).

Ce système définit les caractéristiques des protocoles dans des fichiers texte dont l'extension est .protocol.

Deux protocoles présentent une vulnérabilité :

• rlogin pour toutes les versions de KDE de 2.1 à 3.0.4 ;
• telnet pour les versions de KDE 2.x.

Ces vulnérabilités permettent à un utilisateur mal intentionné d'exécuter des commandes arbitraires. Ces commandes peuvent être transmises par une URL habilement construite, un mél au format HTML, ou par toute application utilisant KIO.

Les commandes seront exécutées avec les privilèges de la victime.

Contournement provisoire

Pour désactiver ces deux protocoles, il suffit de détruire les fichiers .protocol correspondants : telnet.protocol et rlogin.protocol.

Ces fichiers sont normalement installés dans le répertoire /[kdeprefix]/shared/services/, où [kdeprefix] désigne le répertoire d'installation de KDE.

Des copies de ces fichiers peuvent exister ailleurs, notamment dans le répertoire .kde/shared/services des utilisateurs. Il faut également détruire ces copies.

Solution

La version 3.0.5 corrige la vulnérabilité.

Vous pouvez appliquer un correctif pour la version 3.0.4 (cf. section Documentation). Pour les autres versions, il est recommandé de mettre à jour à la version 3.0.5.