Avis du CERT-FR

Systèmes

Les versions de CVS égales ou antérieures à la version 1.11.15 (branche stable) sont affectées.

Description

CVS (``Concurrent Versions System'') est un système client/serveur utilisé pour la gestion des versions de fichiers essentiellement textuels. A cause d'une erreur de programmation dans l'analyse des données reçues, il est possible, à l'aide dune ligne ``Entry'' habilement construite, d'écrire au-delà de la mémoire allouée. Cela peut être exploité pour exécuter du code avec les privilèges du serveur.

Solution

Mettre à jour le serveur (version source 1.11.16) en suivant les recommendations de l'éditeur.

• Avis de sécurité Debian GNU/Linux DSA-505 du 19 mai 2004 :

  http://www.debian.org/security/2004/dsa-505
  

• Avis de sécurité Mandrake Linux MDKSA-2004:048 du 19 mai 2004 :

  http://www.mandrakesecure.net/en/advisories/advisory.php?name=MDKSA-2004:048
  

• Avis de sécurité Red Hat Linux RHSA-2004:190 du 19 mai 2004 :

  http://rhn.redhat.com/errata/RHSA-2004-190.html
  

• Avis de sécurité SUSE Linux SuSE-SA:2004:013 du 19 mai 2004 :

  http://www.suse.com/de/security/2004_13_cvs.html
  

• Avis de sécurité Gentoo Linux GLSA-200405-12 du 20 mai 2004 :

  http://www.gentoo.org/security/en/glsa/glsa-200405-12.xml
  

• Avis de sécurité FreeBSD FreeBSD-SA-04:10.cvs du 19 mai 2004 :

  ftp://ftp.freebsd.org/pub/FreeBSD/CERT/advisories/FreeBSD-SA-04:10.cvs.asc
  

• Avis de sécurité OpenBSD du 20 mai 2004 :

  http://www.openbsd.org/errata.html
  

• Avis de sécurité NetBSD du 21 mai 2004 :

  ftp://ftp.netbsd.org/pub/NetBSD/security/advisories/NetBSD-SA2004-008.txt.asc