Debian-Sicherheitsankündigung

DSA-111-1 ucd-snmp -- Entfernter Angriff

Datum des Berichts:
14. Feb 2002
Betroffene Pakete:
ucd-snmp
Verwundbar:
Ja
Sicherheitsdatenbanken-Referenzen:
In Mitres CVE-Verzeichnis: CVE-2002-012, CVE-2002-013.
CERTs Verwundbarkeiten, Hinweise und Ereignis-Notizen: VU#854306, VU#107186, CA-2002-03.
Weitere Informationen:

Die Secure Programming Group der Oulu Universität machte eine Studie über SNMP-Implementierungen und entdeckte mehrere Probleme, die Probleme im Bereich von Denial-of-Service-Angriffen bis zu entfernten Verwundbarkeiten verursachen können.

Neue UCD-SNMP Pakete wurden vorbereitet, um diese Probleme und auch ein paar andere zu beheben. Hier die komplette Liste der behobenen Probleme:

  • Wenn externe Programme aufgerufen werden, verwendete snmpd temporäre Dateien unsicher
  • snmpd hat ergänzende Gruppen nicht ordnungsgemäß zurückgesetzt, nachdem er die uid und gid geändert hat
  • Der meiste Code wurde geändert, um Puffer zu verwenden statt Zeichenketten mit fixen Längen, um Pufferüberläufen vorzubeugen
  • Der ASN.1 Parser prüfte nicht auf negative Längen
  • Die IFINDEX Antwort-Behandlung in snmpnetstat führte keine Sinnhaftigkeitsprüfung der Eingabe durch

(Danke an Caldera für die meiste Arbeit an diesen Patches)

Die neue Version ist 4.1.1-2.1 und wir empfehlen Ihnen, Ihre snmp Pakete unverzüglich zu aktualisieren.

Behoben in:

Debian GNU/Linux 2.2 (potato)

Quellcode:
http://security.debian.org/dists/stable/updates/main/source/ucd-snmp_4.1.1-2.2.diff.gz
http://security.debian.org/dists/stable/updates/main/source/ucd-snmp_4.1.1-2.2.dsc
http://security.debian.org/dists/stable/updates/main/source/ucd-snmp_4.1.1.orig.tar.gz
Alpha:
http://security.debian.org/dists/stable/updates/main/binary-alpha/libsnmp4.1-dev_4.1.1-2.2_alpha.deb
http://security.debian.org/dists/stable/updates/main/binary-alpha/libsnmp4.1_4.1.1-2.2_alpha.deb
http://security.debian.org/dists/stable/updates/main/binary-alpha/snmp_4.1.1-2.2_alpha.deb
http://security.debian.org/dists/stable/updates/main/binary-alpha/snmpd_4.1.1-2.2_alpha.deb
ARM:
http://security.debian.org/dists/stable/updates/main/binary-arm/libsnmp4.1-dev_4.1.1-2.2_arm.deb
http://security.debian.org/dists/stable/updates/main/binary-arm/libsnmp4.1_4.1.1-2.2_arm.deb
http://security.debian.org/dists/stable/updates/main/binary-arm/snmp_4.1.1-2.2_arm.deb
http://security.debian.org/dists/stable/updates/main/binary-arm/snmpd_4.1.1-2.2_arm.deb
Intel IA-32:
http://security.debian.org/dists/stable/updates/main/binary-i386/libsnmp4.1-dev_4.1.1-2.2_i386.deb
http://security.debian.org/dists/stable/updates/main/binary-i386/libsnmp4.1_4.1.1-2.2_i386.deb
http://security.debian.org/dists/stable/updates/main/binary-i386/snmp_4.1.1-2.2_i386.deb
http://security.debian.org/dists/stable/updates/main/binary-i386/snmpd_4.1.1-2.2_i386.deb
Motorola 680x0:
http://security.debian.org/dists/stable/updates/main/binary-m68k/libsnmp4.1-dev_4.1.1-2.2_m68k.deb
http://security.debian.org/dists/stable/updates/main/binary-m68k/libsnmp4.1_4.1.1-2.2_m68k.deb
http://security.debian.org/dists/stable/updates/main/binary-m68k/snmp_4.1.1-2.2_m68k.deb
http://security.debian.org/dists/stable/updates/main/binary-m68k/snmpd_4.1.1-2.2_m68k.deb
Sun Sparc:
http://security.debian.org/dists/stable/updates/main/binary-sparc/libsnmp4.1-dev_4.1.1-2.2_sparc.deb
http://security.debian.org/dists/stable/updates/main/binary-sparc/libsnmp4.1_4.1.1-2.2_sparc.deb
http://security.debian.org/dists/stable/updates/main/binary-sparc/snmp_4.1.1-2.2_sparc.deb
http://security.debian.org/dists/stable/updates/main/binary-sparc/snmpd_4.1.1-2.2_sparc.deb

MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.