Avis du CERT-FR
Objet : Vulnérabilités dans Samba
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Exécution de code arbitraire à distance
Systèmes affectés
Samba, versions 3.0.x.
Description
Une vulnérabilité dans la construction de réponses d'un serveur Samba à des requêtes Netbios permet à un utilisateur malveillant d'exécuter du code arbitraire à distance.
Une autre vulnérabilité, exploitable uniquement si le serveur Samba sert de contrôleur de domaine primaire ou secondaire, permet également à un utilisateur malveillant d'exécuter du code arbitraire à distance.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité Debian DSA-1409 du 29 novembre 2007 :
http://www.debian.org/security/2007/dsa-1409 -
Bulletin de sécurité Fedora 3402 du 15 novembre 2007 :
https://www.redhat.com/archives/fedora-package-announce/2007-November/msg00472.html -
Bulletin de sécurité Gentoo GLSA 200711-29 du 20 novembre 2007 :
http://www.gentoo.org/security/en/glsa/glsa-200711-29.xml -
Bulletin de sécurité HP-UX HPSBUX02316 du 10 mars 2008 :
http://itrc.hp.com/service/cki/docDisplay.do?docId=c01377687 -
Bulletin de sécurité Mandriva MDKSA-2007:224-1 du 21 novembre 2007 :
http://www.mandriva.com/en/security/advisories?name=MDKSA-2007:224-1 -
Bulletin de sécurité RedHat RHSA-2007:1013 du 15 novembre 2007 :
http://rhn.redhat.com/errata/RHSA-2007-1013.html -
Bulletin de sécurité Ubuntu USN-544-1 du 15 novembre 2007 :
http://www.ubuntulinux.org/usn/usn-544-1 -
Bulletin du projet Samba du 15 novembre 2007 :
http://us1.samba.org/samba/history/security.html -
Référence CVE CVE-2007-4572
https://www.cve.org/CVERecord?id=CVE-2007-4572 -
Référence CVE CVE-2007-5398
https://www.cve.org/CVERecord?id=CVE-2007-5398 -
Référence CVE CVE-2007-6015
https://www.cve.org/CVERecord?id=CVE-2007-6015
Gestion détaillée du document
| Date | Description |
|---|---|
| 16 novembre 2007 | version initiale. |
| 30 novembre 2007 | ajout des références aux bulletins de sécurité Mandriva, Gentoo et Debian. |
| 13 mars 2008 | ajout de la référence au bulletin de sécurité HP-UX. |