Bulletin d'alerte Debian

DSA-364-3 man-db -- Dépassements de tampon et exécution arbitraire de commande

Date du rapport :

4 août 2003

Paquets concernés :

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans la base de données de suivi des bogues (chez SecurityFocus) : Identifiant BugTraq 8303, Identifiant BugTraq 8341.
Dans le dictionnaire CVE du Mitre : CVE-2003-0620, CVE-2003-0645.

Plus de précisions :

man-db fournit la commande standard man(1) sur les systèmes Debian. Durant la configuration de ce paquet, l'administrateur est interrogé si oui ou non man(1) doit être affecté à un utilisateur dédié (man) pour fournir un cache partagé de pages de manuel préformatées. Par défaut, man(1) n'est pas installé ainsi et dans cette configuration, aucune faille de sécurité existe. Cependant, si l'utilisateur demande explicitement cette opération, un attaquant local pouvait exploiter l'un des bogues suivants pour exécuter n'importe quel code avec l'utilisateur man.

Une fois de plus, ces failles de sécurité n'affectent pas la configuration par défaut.

CAN-2003-0620 : Plusieurs dépassements de tampon dans man-db 2.4.1 et antérieur permettent aux utilisateurs locaux d'obtenir les privilèges via (1) les arguments MANDATORY_MANPATH, MANPATH_MAP et MANDB_MAP pour add_to_dirlist dans manp.c, (2) un chemin trop long pour ult_src dans ult_src.c, (3) un argument trop long .so pour test_for_include dans ult_src.c, (4) une variable d'environnement MANPATH trop longue ou (5) une variable d'environnement PATH trop longue ;
CAN-2003-0645 : Certaines directives DEFINE dans ~/.manpath, qui contient des commandes à exécuter, serait valides même si l'application appartient à man, permettant à n'importe quel utilisateur d'exécuter des commandes sous l'identité de cet utilisateur.

Pour la distribution stable (Woody), ces problèmes ont été corrigés dans la version 2.3.20-18.woody.4.

Pour la distribution instable (Sid), ces problèmes ont été corrigés dans la version 2.4.1-13.

Nous vous recommandons de mettre à jour votre paquet man-db.

Corrigé dans :

Debian GNU/Linux 3.0 (woody)

Source :: http://security.debian.org/pool/updates/main/m/man-db/man-db_2.3.20-18.woody.4.dsc; http://security.debian.org/pool/updates/main/m/man-db/man-db_2.3.20-18.woody.4.diff.gz; http://security.debian.org/pool/updates/main/m/man-db/man-db_2.3.20.orig.tar.gz
Alpha:: http://security.debian.org/pool/updates/main/m/man-db/man-db_2.3.20-18.woody.4_alpha.deb
ARM:: http://security.debian.org/pool/updates/main/m/man-db/man-db_2.3.20-18.woody.4_arm.deb
Intel IA-32:: http://security.debian.org/pool/updates/main/m/man-db/man-db_2.3.20-18.woody.4_i386.deb
Intel IA-64:: http://security.debian.org/pool/updates/main/m/man-db/man-db_2.3.20-18.woody.4_ia64.deb
HPPA:: http://security.debian.org/pool/updates/main/m/man-db/man-db_2.3.20-18.woody.4_hppa.deb
Motorola 680x0:: http://security.debian.org/pool/updates/main/m/man-db/man-db_2.3.20-18.woody.4_m68k.deb
Big endian MIPS:: http://security.debian.org/pool/updates/main/m/man-db/man-db_2.3.20-18.woody.4_mips.deb
Little endian MIPS:: http://security.debian.org/pool/updates/main/m/man-db/man-db_2.3.20-18.woody.4_mipsel.deb
PowerPC:: http://security.debian.org/pool/updates/main/m/man-db/man-db_2.3.20-18.woody.4_powerpc.deb
IBM S/390:: http://security.debian.org/pool/updates/main/m/man-db/man-db_2.3.20-18.woody.4_s390.deb
Sun Sparc:: http://security.debian.org/pool/updates/main/m/man-db/man-db_2.3.20-18.woody.4_sparc.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.

Les sommes MD5 des fichiers indiqués sont disponibles dans la nouvelle annonce de sécurité.