Bulletin d'alerte Debian

DSA-2197-1 quagga -- Déni de service

Date du rapport :

21 mars 2011

Paquets concernés :

quagga

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2010-1674, CVE-2010-1675.

Plus de précisions :

On a découvert que le démon de routage Quagga contient deux vulnérabilités de déni de service dans son implémentation BGP :

CVE-2010-1674
Un attribut Extended Communities contrefait déclenche un déréférencement de pointeur NULL, ce qui peut provoquer le plantage du démon BGP. Les attributs contrefaits ne sont pas propagés par le noyau Internet, donc seuls les pairs directs explicitement configurés pourront exploiter cette vulnérabilité dans les configurations typiques.
CVE-2010-1675
Le démon BGP réinitialise les sessions BGP quand il est face à des attributs AS_PATHLIMIT malformés, introduisant une vulnérabilité de réinitialisation de session BGP distribuée qui perturbe le transfert de paquets. De tels attributs malformés sont propagés par le noyau Internet, et l'exploitation de cette vulnérabilité n'est pas restreinte aux pairs BGP directement configurés.

Cette mise à jour de sécurité supprime le traitement AS_PATHLIMIT de l'implémentation BGP, conservant les états de configuration pour compatibilité ascendante (la standardisation de cette extension BGP a été abandonnée depuis longtemps).

Pour la distribution oldstable (Lenny), ces problèmes ont été corrigés dans la version 0.99.10-1lenny5.

Pour la distribution stable (Squeeze), ces problèmes ont été corrigés dans la version 0.99.17-2+squeeze2.

Pour la distribution testing (Wheezy) et la distribution unstable (Sid), ces problèmes seront corrigés prochainement.

Nous vous recommandons de mettre à jour vos paquets quagga.