Bulletin d'alerte Debian
DSA-1992-1 chrony -- Plusieurs vulnérabilités
- Date du rapport :
- 4 février 2010
- Paquets concernés :
- chrony
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Dans le dictionnaire CVE du Mitre : CVE-2010-0292, CVE-2010-0293, CVE-2010-0294.
- Plus de précisions :
-
Plusieurs vulnérabilités ont été découvertes dans Chrony, une paire de programmes utilisés pour maintenir la précision de l'horloge système d'un ordinateur. Ces problèmes sont similaires au défaut de sécurité de NTP CVE-2009-3563. Le projet « Common Vulnerabilities and Exposures » (CVE) identifie les problèmes suivants.
- CVE-2010-0292
chronyd répond à tous les paquets cmdmon des messages NOHOSTACCESS même pour les hôtes non autorisés. Un attaquant peut abuser de ce comportement pour forcer deux instances de chronyd à jouer au ping-pong de paquet en envoyant un tel paquet avec une adresse et un port source usurpés. Cela provoque une utilisation élevée du microprocesseur et du réseau et par conséquent des conditions de déni de service.
- CVE-2010-0293
La fonction de journalisation des clients de chronyd ne limite pas la mémoire utilisée pour conserver les renseignements des clients. Un attaquant peut forcer chronyd à allouer une grande quantité de mémoire en envoyant des paquets NTP ou cmdmon avec une adresse source usurpée, provoquant un épuisement de la mémoire.
- CVE-2010-0294
Un contrôle de taux limite pour la fonction de journalisation système lors de la journalisation de paquets reçus d'hôtes non autorisés manque à chronyd. Cela permet à un attaquant de provoquer des conditions de déni de service en remplissant les journaux et par conséquent l'espace disque en envoyant de façon répétée des paquets cmdmon non valables.
Pour la distribution oldstable (Etch), ce problème a été corrigé dans la version 1.21z-5+etch1.
Pour la distribution stable (Lenny), ce problème a été corrigé dans la version 1.23-6+lenny1.
Pour les distributions testing (Squeeze) et unstable (Sid), ce problème sera corrigé prochainement.
Nous vous recommandons de mettre à jour vos paquets chrony.
- CVE-2010-0292
- Corrigé dans :
-
Debian GNU/Linux 4.0 (etch)
- Source :
- http://security.debian.org/pool/updates/main/c/chrony/chrony_1.21z.orig.tar.gz
- http://security.debian.org/pool/updates/main/c/chrony/chrony_1.21z-5+etch1.dsc
- http://security.debian.org/pool/updates/main/c/chrony/chrony_1.21z-5+etch1.diff.gz
- http://security.debian.org/pool/updates/main/c/chrony/chrony_1.21z-5+etch1.dsc
- Alpha:
- http://security.debian.org/pool/updates/main/c/chrony/chrony_1.21z-5+etch1_alpha.deb
- AMD64:
- http://security.debian.org/pool/updates/main/c/chrony/chrony_1.21z-5+etch1_amd64.deb
- ARM:
- http://security.debian.org/pool/updates/main/c/chrony/chrony_1.21z-5+etch1_arm.deb
- HP Precision:
- http://security.debian.org/pool/updates/main/c/chrony/chrony_1.21z-5+etch1_hppa.deb
- Intel IA-32:
- http://security.debian.org/pool/updates/main/c/chrony/chrony_1.21z-5+etch1_i386.deb
- Intel IA-64:
- http://security.debian.org/pool/updates/main/c/chrony/chrony_1.21z-5+etch1_ia64.deb
- Little-endian MIPS:
- http://security.debian.org/pool/updates/main/c/chrony/chrony_1.21z-5+etch1_mipsel.deb
- PowerPC:
- http://security.debian.org/pool/updates/main/c/chrony/chrony_1.21z-5+etch1_powerpc.deb
- IBM S/390:
- http://security.debian.org/pool/updates/main/c/chrony/chrony_1.21z-5+etch1_s390.deb
- Sun Sparc:
- http://security.debian.org/pool/updates/main/c/chrony/chrony_1.21z-5+etch1_sparc.deb
Debian GNU/Linux 5.0 (lenny)
- Source :
- http://security.debian.org/pool/updates/main/c/chrony/chrony_1.23-6+lenny1.dsc
- http://security.debian.org/pool/updates/main/c/chrony/chrony_1.23.orig.tar.gz
- http://security.debian.org/pool/updates/main/c/chrony/chrony_1.23-6+lenny1.diff.gz
- http://security.debian.org/pool/updates/main/c/chrony/chrony_1.23.orig.tar.gz
- Alpha:
- http://security.debian.org/pool/updates/main/c/chrony/chrony_1.23-6+lenny1_alpha.deb
- AMD64:
- http://security.debian.org/pool/updates/main/c/chrony/chrony_1.23-6+lenny1_amd64.deb
- ARM:
- http://security.debian.org/pool/updates/main/c/chrony/chrony_1.23-6+lenny1_arm.deb
- ARM EABI:
- http://security.debian.org/pool/updates/main/c/chrony/chrony_1.23-6+lenny1_armel.deb
- HP Precision:
- http://security.debian.org/pool/updates/main/c/chrony/chrony_1.23-6+lenny1_hppa.deb
- Intel IA-32:
- http://security.debian.org/pool/updates/main/c/chrony/chrony_1.23-6+lenny1_i386.deb
- Intel IA-64:
- http://security.debian.org/pool/updates/main/c/chrony/chrony_1.23-6+lenny1_ia64.deb
- Big-endian MIPS:
- http://security.debian.org/pool/updates/main/c/chrony/chrony_1.23-6+lenny1_mips.deb
- Little-endian MIPS:
- http://security.debian.org/pool/updates/main/c/chrony/chrony_1.23-6+lenny1_mipsel.deb
- PowerPC:
- http://security.debian.org/pool/updates/main/c/chrony/chrony_1.23-6+lenny1_powerpc.deb
- IBM S/390:
- http://security.debian.org/pool/updates/main/c/chrony/chrony_1.23-6+lenny1_s390.deb
- Sun Sparc:
- http://security.debian.org/pool/updates/main/c/chrony/chrony_1.23-6+lenny1_sparc.deb
Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.