Bulletin d'alerte Debian

DSA-595-1 bnc -- Dépassement de tampon

Date du rapport :
24 novembre 2004
Paquets concernés :
bnc
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2004-1052.
Plus de précisions :

Leon Juranic a découvert que BNC, un serveur mandataire redirecteur de session IRC, ne protège pas toujours ces tampons de l'écrasement. Ceci pouvait être exploité par un serveur IRC malveillant en faisant dépasser un tampon de sa taille limite et en exécutant n'importe quel code sur la machine cliente.

Pour la distribution stable (Woody), ce problème a été corrigé dans la version 2.6.4-3.3.

Ce paquet n'existe pas dans les distributions instable ou de test.

Nous vous recommandons de mettre à jour votre paquet bnc.

Corrigé dans :

Debian GNU/Linux 3.0 (woody)

Source :
http://security.debian.org/pool/updates/main/b/bnc/bnc_2.6.4-3.3.dsc
http://security.debian.org/pool/updates/main/b/bnc/bnc_2.6.4-3.3.diff.gz
http://security.debian.org/pool/updates/main/b/bnc/bnc_2.6.4.orig.tar.gz
Alpha:
http://security.debian.org/pool/updates/main/b/bnc/bnc_2.6.4-3.3_alpha.deb
ARM:
http://security.debian.org/pool/updates/main/b/bnc/bnc_2.6.4-3.3_arm.deb
Intel IA-32:
http://security.debian.org/pool/updates/main/b/bnc/bnc_2.6.4-3.3_i386.deb
Intel IA-64:
http://security.debian.org/pool/updates/main/b/bnc/bnc_2.6.4-3.3_ia64.deb
HPPA:
http://security.debian.org/pool/updates/main/b/bnc/bnc_2.6.4-3.3_hppa.deb
Motorola 680x0:
http://security.debian.org/pool/updates/main/b/bnc/bnc_2.6.4-3.3_m68k.deb
Big endian MIPS:
http://security.debian.org/pool/updates/main/b/bnc/bnc_2.6.4-3.3_mips.deb
Little endian MIPS:
http://security.debian.org/pool/updates/main/b/bnc/bnc_2.6.4-3.3_mipsel.deb
PowerPC:
http://security.debian.org/pool/updates/main/b/bnc/bnc_2.6.4-3.3_powerpc.deb
IBM S/390:
http://security.debian.org/pool/updates/main/b/bnc/bnc_2.6.4-3.3_s390.deb
Sun Sparc:
http://security.debian.org/pool/updates/main/b/bnc/bnc_2.6.4-3.3_sparc.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.