Avis du CERT-FR
Objet : Vulnérabilités sur les systèmes IBM AIX 5.1 et 5.2
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Déni de service
- Exécution de code arbitraire
- Perte de données
Systèmes affectés
AIX versions 5.1 et 5.2.
Résumé
Plusieurs vulnérabilités ont été découvertes dans certaines commandes système et certaines commandes LVM (Logical Volume Manager) permettent à un utilisateur mal intentionné de réaliser un déni de service.
Description
Des dépassements de tampon présents dans les commandes système putlvcb et getlvcb, utilisées par les commandes LVM de plus haut niveau, permettent à un utilisateur local mal intentionné de réaliser un déni de service et dans certains cas d'exécuter du code arbitraire sur un système vulnérable.
D'autres vulnérabilités présentes dans certaines commandes des paquetages bos.rte.console et bos.rte.serv_aid permettent à un utilisateur local mal intentionné, via la création de liens symboliques, de réaliser une destruction de données.
Solution
Dans l'attente des correctifs disponibles prochainement (cf. avis de sécurité IBM), appliquer les correctifs d'urgence disponibles sur le site IBM.
-
Correctif pour la vulnérabilité sur les commandes LVM :
ftp://aix.software.ibm.com/aix/efixes/security/lvmcmd_efix.tar.Z -
Correctif pour la vulnérabilité sur les commandes systèmes :
ftp://aix.software.ibm.com/aix/efixes/security/conscmd_efix.tar.Z
Documentation
-
Avis de sécurité MSS-OAR-E01-2004:0543.2 :
http://www-1.ibm.com/services/continuity/recover1.nsf/mss/MSS-OAR-E01-2004.0543.2 -
Avis de sécurité MSS-OAR-E01-2004:0544.2 :
http://www-1.ibm.com/services/continuity/recover1.nsf/mss/MSS-OAR-E01-2004.0544.2
Gestion détaillée du document
| Date | Description |
|---|---|
| 04 mai 2004 | version initiale. |
| 14 juin 2004 | ajout références CVE. |