Avis du CERT-FR
Objet : Vulnérabilité de Shorewall
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Contournement de la politique de sécurité
Systèmes affectés
- Shorewall version 2.0.17 et antérieures.
- Shorewall version 2.2.5 et antérieures ;
- Shorewall version 2.4.1 et antérieures ;
Résumé
Une vulnérabilité dans Shorewall permet à un utilisateur distant de contourner la politique de sécurité du système.
Description
Shorewall est un outil de configuration haut niveau du firewall GNU/Linux Netfilter. Une vulnérabilité dans la façon dont Shorewall gère l'authentifation par adresse MAC (Medium Access Controle) permet à un utilisateur mal intentionné du réseau local de contourner la politique de sécurité du système.
Solution
Mettre à jour avec les scripts corrigés de Shorewall disponibles aux adresses suivantes :
-
Shorewall version 2.4.1 et antérieures :
http://shorewall.net/pub/shorewall/2.4/shorewall-2.4.1/errata/firewall -
Shorewall version 2.2.5 et antérieures :
http://shorewall.net/pub/shorewall/2.2/shorewall-2.2.5/errata/firewall -
Shorewall version 2.0.17 et antérieures :
http://shorewall.net/pub/shorewall/errata/2.0.17/firewall
Documentation
-
Bulletin de sécurité Shorewall du 17 juillet 2005
http://shorewall.net/News.htm#20050717 -
Bulletin de sécurité Debian DSA-849 du 08 octobre 2005 :
http://www.debian.org/security/2005/dsa-849 -
Bulletin de sécurité Gentoo GLSA 200507-20 du 22 juillet 2005 :
http://www.gentoo.org/security/en/glsa/glsa-200507-20.xml -
Bulletin de sécurité Mandriva MDKSA-2005:123 du 20 juillet 2005 :
http://www.mandriva.com/security/advisories?name=MDKSA-2005:123 -
Site de Shorewall :
http://shorewall.net
Gestion détaillée du document
| Date | Description |
|---|---|
| 18 juillet 2005 | version initiale. |
| 21 juillet 2005 | ajout de la référence au bulletin de sécurité Mandriva MDKSA-2005:123 et ajout de la référence CVE CAN-2005-2317. |
| 22 juillet 2005 | ajout de la référence au bulletin de sécurité Gentoo GLSA 200507-20. |
| 10 octobre 2005 | ajout de la référence au bulletin de sécurité Debian DSA-849. |