Avis du CERT-FR
Objet : Vulnérabilité dans la configuration du serveur de fax HylaFAX
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Contournement de la politique de sécurité
Systèmes affectés
Tout système Unix utilisant le serveur de fax HylaFAX version 4 dont les sources sont antérieures ou égales à la révision 4.2.0.
Résumé
HylaFAX fournit un service permettant l'envoi et la réception de fax pour les utilisateurs autorisés à se connecter au serveur. Une mauvaise gestion des restrictions d'accès permet à un utilisateur mal intentionné d'user de ce service à son profit.
Description
Le fichier de configuration host.hfaxd permet de spécifier les hôtes et ou utilisateurs autorisés à utiliser le service. Certaines entrées, couramment présentes par défaut, peuvent être incorrectement interprétées comme un nom d'utilisateur au lieu d'un nom d'hôte et donc être utilisées pour fournir un accès à un utilisateur mal intentionné.
Contournement provisoire
Filtrer les adresses IP autorisées à se connecter à l'aide d'un pare-feu en coupure (ports 444/tcp, 4457/tcp et 4459/tcp par défaut).
Solution
Utiliser les sources de HylaFAX en version 4.2.1 au moins ou se référer au bulletin de sécurité de l'éditeur.
Documentation
-
Bulletin de sécurité Debian DSA-634 du 11 janvier 2005 :
http://www.debian.org/security/2005/dsa-634 -
Bulletin de sécurité Gentoo GLSA-200501-21 du 11 janvier 2005 :
http://www.gentoo.org/security/en/glsa/glsa-200501-21.xml -
Bulletin de sécurité Mandrake MDKSA-2005:006 du 12 janvier 2005 :
http://www.mandrakesoft.com/security/advisories?name=MDKSA-2005:006 -
Bulletin de sécurité Secunia 13812 du 12 janvier 2005 :
http://secunia.com/advisories/13812/ -
Site officiel de HylaFAX :
http://www.hylafax.org
Gestion détaillée du document
| Date | Description |
|---|---|
| 20 janvier 2005 | version initiale. |