Bulletin d'alerte Debian
DSA-3532-1 quagga -- Mise à jour de sécurité
- Date du rapport :
- 27 mars 2016
- Paquets concernés :
- quagga
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Dans le système de suivi des bogues Debian : Bogue 819179.
Dans le dictionnaire CVE du Mitre : CVE-2016-2342. - Plus de précisions :
-
Kostya Kortchinsky a découvert une vulnérabilité de dépassement de pile dans l'analyseur du champ NLRI de VPNv4 dans bgpd de quagga, un démon de routage BGP/OSPF/RIP. Un attaquant distant peut exploiter ce défaut pour provoquer un déni de service (plantage du démon), ou éventuellement, l'exécution de code arbitraire, si bgpd est configuré avec les pairs BGP activés pour VPNv4.
Pour la distribution oldstable (Wheezy), ce problème a été corrigé dans la version 0.99.22.4-1+wheezy2.
Pour la distribution stable (Jessie), ce problème a été corrigé dans la version 0.99.23.1-1+deb8u1.
Nous vous recommandons de mettre à jour vos paquets quagga.