Bulletin d'alerte Debian
DSA-092-1 wmtv -- Connexion locale en root abusive
- Date du rapport :
- 6 décembre 2001
- Paquets concernés :
- wmtv
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Dans la base de données de suivi des bogues (chez SecurityFocus) : Identifiant BugTraq 3658.
Dans le dictionnaire CVE du Mitre : CVE-2001-1272. - Plus de précisions :
-
Nicolas Boullis a trouvé un grave problème de sécurité dans le
paquet wmtv (un lecteur video4linux iconifiable (dockable) pour windowmaker)
distribué dans Debian GNU/Linux 2.2.
wmtv peut démarrer une commande en double cliquant sur la fenêtre de la télévision. Cette commande peut être spécifiée en utilisant l'option -e de la ligne de commande. Toutefois, wmtv étant installé avec le suid root, cette commande était aussi exécutée en tant que root, ce qui permettait aux utilisateurs locaux d'obtenir très facilement l'accès root.
Ce problème a été résolu dans la version 0.6.5-2potato1 en enlevant les privilèges de root à l'exécution de la commande. Nous vous recommandons de mettre votre paquet wmtv à niveau immédiatement.
- Corrigé dans :
-
Debian GNU/Linux 2.2 (potato)
- Source :
- http://security.debian.org/dists/stable/updates/main/source/wmtv_0.6.5-2potato1.diff.gz
- http://security.debian.org/dists/stable/updates/main/source/wmtv_0.6.5-2potato1.dsc
- http://security.debian.org/dists/stable/updates/main/source/wmtv_0.6.5.orig.tar.gz
- http://security.debian.org/dists/stable/updates/main/source/wmtv_0.6.5-2potato1.dsc
- Alpha:
- http://security.debian.org/dists/stable/updates/main/binary-alpha/wmtv_0.6.5-2potato1_alpha.deb
- ARM:
- http://security.debian.org/dists/stable/updates/main/binary-arm/wmtv_0.6.5-2potato1_arm.deb
- Intel IA-32:
- http://security.debian.org/dists/stable/updates/main/binary-i386/wmtv_0.6.5-2potato1_i386.deb
- Motorola 680x0:
- http://security.debian.org/dists/stable/updates/main/binary-m68k/wmtv_0.6.5-2potato1_m68k.deb
- PowerPC:
- http://security.debian.org/dists/stable/updates/main/binary-powerpc/wmtv_0.6.5-2potato1_powerpc.deb
- Sun Sparc:
- http://security.debian.org/dists/stable/updates/main/binary-sparc/wmtv_0.6.5-2potato1_sparc.deb
Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.