Avis du CERT-FR
Objet : Vulnérabilité de OpenSSH
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Déni de service à distance
- Exécution de code arbitraire à distance
Systèmes affectés
Toutes les versions de OpenSSH antérieures à la 4.4.
Résumé
Une vulnérabilité présente dans OpenSSH permet à un utilisateur distant de provoquer un déni de service ou d'exécuter du code arbitraire.
Description
Une erreur dans la mise en œuvre du serveur sshd de OpenSSH permet à un utilisateur distant de provoquer un déni de service sur le serveur vulnérable. En outre, si le support de l'autentification via GSSAPI (Kerberos) est activé dans sshd, il lui est alors possible d'exécuter du code arbitraire à distance.
Solution
Se référer aux bulletins de sécurité des éditeurs pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité Debian DSA 1189 du 04 octobre 2006 :
http://www.debian.org/security/dsa-1189 -
Bulletin de sécurité FreeBSD SA-06:22.openssh du 30 septembre 2006 :
ftp://ftp.freebsd.org/pub/FreeBSD/CERT/advisories/FreeBSD-SA-06:22.openssh.asc -
Bulletin de sécurité Mandriva MDKSA-2006:179 du 03 octobre 2006 :
http://www.mandriva.com/security/advisories?name=MDKSA-2006:179 -
Bulletin de sécurité RedHat RHSA-2006:0697 du 28 septembre 2006 :
http://rhn.redhat.com/errata/RHSA-2006-0697.html -
Bulletin de sécurité RedHat RHSA-2006:0698 du 28 septembre 2006 :
http://rhn.redhat.com/errata/RHSA-2006-0698.html -
Bulletin de sécurité Ubuntu USN-355-1 du 03 octobre 2006 :
http://www.ubuntulinux.org/usn/usn-355-1
Gestion détaillée du document
| Date | Description |
|---|---|
| 13 octobre 2006 | version initiale. |