Avis du CERT-FR
Objet : Vulnérabilité de portupgrade
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- D'un utilisateur local
- Exécution de code arbitraire
- Élévation de privilèges
Systèmes affectés
Les versions du logiciel portupgrade strictement inférieures à 20041226_2.
Description
portupgrade est un logiciel destiné à mettre à jour les logiciels installés sur un système d'exploitation FreeBSD.
Une vulnérabilité liée à la gestion des fichiers temporaires permet à un utilisateur local malicieux de :
- écraser n'importe quel fichier ;
- d'exécuter n'importe quelle commande avec les droits du superutilisateur ;
Contournement provisoire
Placer la variable d'environnement PKG_TMPDIR avec le nom d'un réperrtoire dans lequel seul l'utilisateur qui exécute portupgrade peut écrire.
Solution
Mettre à jour portupgrade.
Documentation
-
CVE : CAN-2005-0610
https://www.cve.org/CVERecord?id=CAN-2005-0610 -
FreeBSD, bulletin de sécurité du 2005-04-12 :
http://www.vuxml.org/freebsd/pkg-portupgrade.html
Gestion détaillée du document
| Date | Description |
|---|---|
| 12 avril 2005 | version initiale. |