Avis du CERT-FR
Objet : Multiples vulnérabilités dans ClamAV
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Contournement de la politique de sécurité
- Déni de service à distance
Systèmes affectés
- ClamAV version 0.90RC1.1 et antérieures.
Résumé
Plusieurs vulnérabilités présentes dans ClamAV permettent à un utilisateur distant de contourner la politique de sécurité ou de réaliser un déni de service.
Description
Deux vulnérabilités ont été identifiées dans ClamAV :
- un problème de libération de ressources lors de la validation de l'entête des fichiers de type cabinet (fichier CAB) peut permettre à une personne distante malintentionnée de réaliser un déni de service en bloquant toutes les ressources disponibles ;
- un manque de validation d'un paramètre des entêtes MIME pourrait permettre à un utilisateur malveillant de contourner la politique de sécurité en modifiant des fichiers protégés de l'antivirus.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin Mandriva MDKSA-2007:043 du 19 février 2007 :
http://www.mandriva.com/security/advisories?name=MDKSA-2007:043 -
Bulletin de sécurité iDefense 475 du 15 février 2007 :
http://www.idefense.com/application/poi/display?id=475 -
Bulletin de sécurité iDefense 476 du 15 février 2007 :
http://www.idefense.com/application/poi/display?id=476 -
Mise à jour de sécurité Debian :
http://lists.debian.org/debian-security-announce/debian-security-announce-2007/msg00018.html -
Mise à jour de sécurité Gentoo :
http://www.gentoo.org/security/en/glsa/glsa-200703-03.xml -
Mise à jour de sécurité SuSE :
http://lists.suse.com/archive/suse-security-announce/2007-Feb/0004.html -
Référence CVE CVE-2007-0897
https://www.cve.org/CVERecord?id=CVE-2007-0897 -
Référence CVE CVE-2007-0898
https://www.cve.org/CVERecord?id=CVE-2007-0898
Gestion détaillée du document
| Date | Description |
|---|---|
| 16 février 2007 | version initiale ; |
| 21 février 2007 | ajout de la référence Mandriva ; |
| 13 mars 2007 | ajout des références Debian, SuSE et Gentoo. |