Bulletin d'alerte Debian

DSA-4302-1 openafs -- Mise à jour de sécurité

Date du rapport :

23 septembre 2018

Paquets concernés :

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le système de suivi des bogues Debian : Bogue 908616.
Dans le dictionnaire CVE du Mitre : CVE-2018-16947, CVE-2018-16948, CVE-2018-16949.

Plus de précisions :

Plusieurs vulnérabilités ont été découvertes dans openafs, une implémentation du système de fichiers distribué AFS. Le projet « Common Vulnerabilities and Exposures » (CVE) identifie les problèmes suivants.

CVE-2018-16947
Jeffrey Altman a signalé que le processus du contrôleur de sauvegarde sur bande (butc) accepte les RPC entrants mais n'exige pas (ou n'autorise pas) l'authentification de ces RPC, permettant à un utilisateur non authentifié de réaliser des opérations sur les volumes avec les accréditations de l'administrateur.

https://openafs.org/pages/security/OPENAFS-SA-2018-001.txt
CVE-2018-16948
Mark Vitale a signalé que plusieurs routines du serveur RPC n'initialisent pas totalement les variables de sortie, divulguant à l'appelant distant des contenus de la mémoire (à la fois à partir de la pile et du tas) pour des RPC réussis par ailleurs.

https://openafs.org/pages/security/OPENAFS-SA-2018-002.txt
CVE-2018-16949
Mark Vitale a signalé qu'un attaquant non authentifié peut consommer une grande quantité de mémoire du serveur et de bande passante du réseau grâce à des requêtes contrefaites pour l'occasion, avec pour conséquence un déni de service pour des clients légitimes.

https://openafs.org/pages/security/OPENAFS-SA-2018-003.txt

Pour la distribution stable (Stretch), ces problèmes ont été corrigés dans la version 1.6.20-2+deb9u2.

Nous vous recommandons de mettre à jour vos paquets openafs.

Pour disposer d'un état détaillé sur la sécurité de openafs, veuillez consulter sa page de suivi de sécurité à l'adresse : https://security-tracker.debian.org/tracker/openafs.