Bulletin d'alerte Debian

DLA-601-1 quagga -- Mise à jour de sécurité pour LTS

Date du rapport :
27 août 2016
Paquets concernés :
quagga
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 835223, Bogue 822787.
Dans le dictionnaire CVE du Mitre : CVE-2016-4036, CVE-2016-4049.
Plus de précisions :

Le paquet quagga installe des fichiers sensibles lisibles par tous dans /etc/quagga et pourrait être sujet à un déni de service du fait d'une absence de vérification de taille de paquet.

  • CVE-2016-4036

    Le paquet quagga avant la version 0.99.23-2.6.1 utilise des permissions faibles pour l'accès à /etc/quagga. Cela permet à des utilisateurs locaux d'obtenir des informations sensibles en lisant des fichiers dans ce répertoire.

  • CVE-2016-4049

    La fonction bgp_dump_routes_func dans bgpd/bgp_dump.c dans Quagga ne réalise pas de vérification de taille lorsqu'elle dépose des données. Cela pourrait permettre à des attaquants distants de provoquer un déni de service (échec d'assertion et plantage du démon) à l'aide d'un grand paquet BGP.

Pour Debian 7 Wheezy, ces problèmes ont été corrigés dans la version 0.99.22.4-1+wheezy3.

Nous vous recommandons de mettre à jour vos paquets quagga.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.