Bulletin d'alerte Debian

DSA-314-1 atftp -- Dépassement de tampon

Date du rapport:
11 juin 2003
Paquets concernés:
atftp
Vulnérabilité:
Oui
Références dans la base de données de sécurité:
Dans le dictionnaire CVE du Mitre : CVE-2003-0380.
Pour plus d'information:

Rick Patel a découvert qu'atftpd est vulnérable à un dépassement de tampon quand un nom de fichier long est envoyé au serveur. Un attaquant pouvait exploiter ce bogue à distance pour exécuter n'importe quel code sur le serveur.

Pour la distribution stable (Woody), ce problème a été corrigé dans la version 0.6.1.1.0woody1.

L'ancienne distribution stable (Potato) ne contient pas de paquet atftp.

Pour la distribution instable (Sid), ce problème sera bientôt corrigé.

Nous vous recommandons de mettre à jour votre paquet atftp.

Corrigé dans:

Debian GNU/Linux 3.0 (woody)

Source :
http://security.debian.org/pool/updates/main/a/atftp/atftp_0.6.0woody1.dsc
http://security.debian.org/pool/updates/main/a/atftp/atftp_0.6.0woody1.tar.gz
Alpha:
http://security.debian.org/pool/updates/main/a/atftp/atftp_0.6.0woody1_alpha.deb
http://security.debian.org/pool/updates/main/a/atftp/atftpd_0.6.0woody1_alpha.deb
ARM:
http://security.debian.org/pool/updates/main/a/atftp/atftp_0.6.0woody1_arm.deb
http://security.debian.org/pool/updates/main/a/atftp/atftpd_0.6.0woody1_arm.deb
Intel IA-32:
http://security.debian.org/pool/updates/main/a/atftp/atftp_0.6.0woody1_i386.deb
http://security.debian.org/pool/updates/main/a/atftp/atftpd_0.6.0woody1_i386.deb
Intel IA-64:
http://security.debian.org/pool/updates/main/a/atftp/atftp_0.6.0woody1_ia64.deb
http://security.debian.org/pool/updates/main/a/atftp/atftpd_0.6.0woody1_ia64.deb
HPPA:
http://security.debian.org/pool/updates/main/a/atftp/atftp_0.6.0woody1_hppa.deb
http://security.debian.org/pool/updates/main/a/atftp/atftpd_0.6.0woody1_hppa.deb
Motorola 680x0:
http://security.debian.org/pool/updates/main/a/atftp/atftp_0.6.0woody1_m68k.deb
http://security.debian.org/pool/updates/main/a/atftp/atftpd_0.6.0woody1_m68k.deb
Big endian MIPS:
http://security.debian.org/pool/updates/main/a/atftp/atftp_0.6.0woody1_mips.deb
http://security.debian.org/pool/updates/main/a/atftp/atftpd_0.6.0woody1_mips.deb
Little endian MIPS:
http://security.debian.org/pool/updates/main/a/atftp/atftp_0.6.0woody1_mipsel.deb
http://security.debian.org/pool/updates/main/a/atftp/atftpd_0.6.0woody1_mipsel.deb
PowerPC:
http://security.debian.org/pool/updates/main/a/atftp/atftp_0.6.0woody1_powerpc.deb
http://security.debian.org/pool/updates/main/a/atftp/atftpd_0.6.0woody1_powerpc.deb
IBM S/390:
http://security.debian.org/pool/updates/main/a/atftp/atftp_0.6.0woody1_s390.deb
http://security.debian.org/pool/updates/main/a/atftp/atftpd_0.6.0woody1_s390.deb
Sun Sparc:
http://security.debian.org/pool/updates/main/a/atftp/atftp_0.6.0woody1_sparc.deb
http://security.debian.org/pool/updates/main/a/atftp/atftpd_0.6.0woody1_sparc.deb

Les hachés MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.