Avis du CERT-FR
Objet : Vulnérabilités dans Ethereal
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Déni de service
- Exécution de code arbitraire
Systèmes affectés
Ethereal 0.x.
Résumé
Plusieurs vulnérabilités présentes dans Ethereal permettent à un utilisateur mal intentionné d'exécuter du code arbitraire ou d'effectuer un déni de service à distance.
Description
Ethereal est un renifleur réseau. Il permet l'analyse de données depuis le réseau ou à partir d'un fichier.
Une vulnérabilité de type dépassement de la mémoire présente dans la fonction dissect_a11_radius permet à un utilisateur malveillant d'effectuer un déni de service ou d'exécuter du code arbitraire sur le système vulnérable au moyen de paquets CDMA2000 A11 malicieusement construits.
Plusieurs vulnérabilités dans les routines de dissection des flux IAPP, Etheric, GPRS-LLC, JXTA, et sFlow permettent de réaliser un déni de service à distance.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité LSS LSS-2005-03-04
http://security.lss.hr/en/index.php?page=details&ID=LSS-2005-03-04 -
Bulletin de sécurité Debian DSA-718 du 28 avril 2005 :
http://www.debian.org/security/2005/dsa-718 -
Bulletin de sécurité RedHat RHSA-2005:306-10 du 18 mars 2005 :
http://rhn.redhat.com/errata/RHSA-2005-306.html -
Bulletin de sécurité d'Ethereal enpa-sa-00018 du 11 mars 2005 :
http://www.ethereal.com/appnotes/enpa-sa-00018.html -
Bulletin de sécurité de Gentoo GLSA 200503-16 du 13 mars 2005 :
http://www.gentoo.org/security/en/glsa/glsa-200503-16.xml -
Bulletin de sécurité de Mandrake MDKSA-2005:053 du 15 mars 2005 :
http://www.mandrakesoft.com/security/advisories?name=MDKSA-2005:053 -
Mise à jour du paquetage NetBSD Ethereal :
ftp://ftp.netbsd.org/pub/NetBSD/packages/pkgsrc/net/ethereal/README.html -
Site de l'éditeur :
http://www.ethereal.com
Gestion détaillée du document
| Date | Description |
|---|---|
| 11 mars 2005 | version initiale ; |
| 21 mars 2005 | ajout de plusieurs vulnérabilités. Ajout des références CVE, et des bulletins de sécurité d'Ethereal, de Gentoo, de Mandrake, de RedHat et de NetBSD ; |
| 29 avril 2005 | ajout du bulletin de sécurité Debian. |