Bulletin d'alerte Debian

DLA-2116-1 libpam-radius-auth -- Mise à jour de sécurité pour LTS

Date du rapport :

22 février 2020

Paquets concernés :

libpam-radius-auth

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le système de suivi des bogues Debian : Bogue 951396.
Dans le dictionnaire CVE du Mitre : CVE-2015-9542.

Plus de précisions :

Une vulnérabilité a été découverte dans pam_radius : la vérification de longueur du mot de passe n’était pas réalisée correctement dans la fonction add_password() de pam_radius_auth.c, aboutissant à un dépassement de pile.

Cela pourrait être utilisé pour planter (déni de service) une application utilisant la pile PAM pour l’authentification.

Pour Debian 8 Jessie, ce problème a été corrigé dans la version 1.3.16-4.4+deb8u1.

Nous vous recommandons de mettre à jour vos paquets libpam-radius-auth.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.