Avis du CERT-FR
Objet : Vulnérabilité de wget
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Corruption de données
- Déni de service
Systèmes affectés
Les versions de wget antérieures ou égales à la version 1.8.2 sont vulnérables.
Résumé
Une vulnérabilité présente dans wget permet à un utilisateur mal intentionné d'écraser des fichiers présents sur le poste de l'utilisateur.
Description
Wget est un logiciel très utilisé pour automatiser le téléchargement de fichiers distants via les protocoles http et ftp.
Lors du téléchargement de fichiers, wget ne s'assure pas que les noms des fichiers ne contiennent pas les caractères ".." ou ne commencent pas par "/".
Il est ainsi possible, pour un administrateur mal intentionné, de créer des sites FTP avec des noms de fichiers choisis de telle façon que, lors du téléchargement, ces fichiers viennent à écraser des fichiers appartenant à l'utilisateur.
Solution
Il est conseillé d'appliquer les correctifs des différents éditeurs (cf. section Documentation).
Documentation
-
Bulletin de sécurité MDKSA-2002:086 de Mandrake
http://www.mandrakesecure.net/en/advisories/advisory.php?name=MDKSA-2002:086 -
Bulletin de sécurité DSA-209 de Debian :
http://www.debian.org/decurity/2002/dsa-209 -
Bulletin de sécurité RHSA-2002:229 de Red Hat :
http://rhn.redhat.com/errata/RHSA-2002-229.html -
Message "Directory Traversal Vulnerabilities in FTP Clients" de Steven M. Christey :
http://lists.insecure.org/lists/vulnwatch/2002/Oct-Dec/0080.html -
Note VU#210148 du CERT/CC :
http://www.kb.cert.org/vuls/id/210148 -
Site de le Free Software Foundation :
http://www.gnu.org/software/wget/wget.html
Gestion détaillée du document
| Date | Description |
|---|---|
| 12 décembre 2002 | version initiale. |
| 13 décembre 2002 | ajout référence à l'avis DSA-209 de Debian. |