Avis du CERT-FR
Objet : Vulnérabilité de Samba
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Atteinte à la confidentialité des données
Systèmes affectés
- Samba 2.2.12 et versions antérieures ;
- Samba 3.0.5 et versions antérieures.
Résumé
Une vulnérabilité dans Samba permet à un utilisateur mal intentionné d'avoir accès de manière arbitraire aux informations présentes sur le système.
Description
Samba est un logiciel libre, open source, utilisé pour la mise en œuvre des partages réseau à l'aide des protocoles SMB et CIFS sous Unix.
Une vulnérabilité présente lors de l'appel des fonctions unix_convert( ) et check_name( ) permet à une personne malveillante d'avoir accès à des informations hors du répertoire partagé.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. Documentation).
Documentation
-
Bulletin de sécurité Debian DSA-600 du 07 octobre 2004 :
http://www.debian.org/security/2004/dsa-600 -
Bulletin de sécurité HP (HPSBUX01086) :
http://www4.itrc.hp.com/service/cki/docDisplay.do?docId=HPSBUX01086 -
Bulletin de sécurité RedHat Enterprise Linux et RedHat Desktop :
http://rhn.redhat.com/errata/RHSA-2004-498.html -
Bulletin de sécurité RedHat et Fedora produits ``End-of-Life'' :
http://www.fedoralegacy.org/updates/RH9/2004-10-13-FLSA_2004_2102__Updated_samba_packages_fix_security_vulnerability.html -
Bulletin de sécurité ``Samba Arbitrary File Access Vulnerability'' d'IDEFENSE :
http://www.idefense.com/application/poi/display?id=146&type=vulnerabilities -
Bulletin de sécurité de FreeBSD pour Samba du 30 septembre 2004:
http://www.vuxml.org/freebsd/ -
Bulletin de sécurité de SUSE SuSE-SA:2004:035 du 05 octobre 2004 :
http://www.suse.com/de/security/2004_35_samba.html -
Note ``Samba 2.2.12 Potential Arbitrary File Access'' :
http://sambafr.idealx.org/samba/history/samba-2.2.12.html -
Référence CVE CAN-2004-0815 :
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2004-0815 -
Site de l'éditeur Samba :
http://www.samba.org
Gestion détaillée du document
| Date | Description |
|---|---|
| 08 octobre 2004 | version initiale. |
| 14 octobre 2004 | ajout référence au bulletin de sécurité RedHat (RHSA-2004-498) et au bulletin de sécurité de Fedora (FLSA:2102). |
| 22 octobre 2004 | ajout référence au bulletin de sécurité HP (HPSBUX01086). |