Bulletin d'alerte Debian

cron -- Obtention de privilèges locaux

Date du rapport :

18 novembre 2000

Paquets concernés :

cron

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2000-1096.

Plus de précisions :

La version de Vixie Cron embarquée dans la Debian GNU/Linux 2.2 est vulnérable à une attaque locale, découverte par Michal Zalewski. De nombreux problèmes, incluant des permissions non sécurisées sur les fichiers temporaires ainsi que des situations de compétition lors de leur suppression, permettent des exploits allant du déni de service (empêchant l'édition des crontabs) à l'escalade de privilèges (lorsqu'un autre utilisateur édite sa crontab).

La solution temporaire "chmod go-rx /var/spool/cron/crontabs" prévient de l'unique exploit disponible ; cependant, elle ne résout pas le problème. Nous vous recommandons la mise à jour vers les versions 3.0pl1-57.1 pour la Debian 2.2, et 3.0pl1-61 pour la Debian instable.

De plus, dans le nouveau paquet cron, il n'est plus possible de spécifier les fichiers spéciaux (périphériques, tubes nommées, etc.) par leur nom dans la crontab. Notez que ceci n'est pas tant une recommandation de sécurité qu'un nettoyage nécessaire du code.

Note : Debian GNU/Linux 2.1 est vulnérable à cette attaque. Nous vous recommandons de passer vers la Debian GNU/Linux 2.2 (Potato).

Corrigé dans :

Debian GNU/Linux 2.2 (potato)

Source :: http://security.debian.org/dists/potato/updates/main/source/cron_3.0pl1-57.1.diff.gz; http://security.debian.org/dists/potato/updates/main/source/cron_3.0pl1-57.1.dsc; http://security.debian.org/dists/potato/updates/main/source/cron_3.0pl1.orig.tar.gz
alpha:: http://security.debian.org/dists/potato/updates/main/binary-alpha/cron_3.0pl1-57.1_alpha.deb
arm:: http://security.debian.org/dists/potato/updates/main/binary-arm/cron_3.0pl1-57.1_arm.deb
i386:: http://security.debian.org/dists/potato/updates/main/binary-i386/cron_3.0pl1-57.1_i386.deb
m68k:: http://security.debian.org/dists/potato/updates/main/binary-m68k/cron_3.0pl1-57.1_m68k.deb
powerpc:: http://security.debian.org/dists/potato/updates/main/binary-powerpc/cron_3.0pl1-57.1_powerpc.deb
sparc:: http://security.debian.org/dists/potato/updates/main/binary-sparc/cron_3.0pl1-57.1_sparc.deb