Bulletin d'alerte Debian

DSA-009-1 stunnel -- Manipulation non sécurisée de fichiers et bogue de format de chaîne

Date du rapport :

25 décembre 2000

Paquets concernés :

stunnel

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2001-0060.

Plus de précisions :

Lez a découvert un problème de format de chaîne dans stunnel (un outil qui permet la création d'un tunnel SSL universel pour d'autres démons réseau). Brian Hatch a répondu en disant qu'il prépare une nouvelle version avec de nombreuses mises à jour de sécurité :

Le PRNG (généré pseudo-aléatoirement) n'était pas initialisé correctement. Cela affecte seulement les opérations sur les systèmes d'exploitation sans générateur aléatoire sécurisé (comme Linux) ;
Les fichiers Pid ne sont pas créés de manière sécurisée, rendant stunnel vulnérable aux attaques par lien symbolique ;
Il y a un appel non sécurisé de syslog() qui peut être utilisé si un utilisateur peut insérer du texte dans le texte archivé. Au moins une démonstration de Lez a permis de mettre en évidence de fausses réponses de identd.

Ces problèmes ont été résolus dans la version 3.10-0potato1.

Corrigé dans :

Debian 2.2 (potato)

Source :: http://security.debian.org/dists/stable/updates/main/source/stunnel_3.10-0potato1.diff.gz; http://security.debian.org/dists/stable/updates/main/source/stunnel_3.10-0potato1.dsc; http://security.debian.org/dists/stable/updates/main/source/stunnel_3.10.orig.tar.gz
alpha:: http://security.debian.org/dists/stable/updates/main/binary-alpha/stunnel_3.10-0potato1_alpha.deb
arm:: http://security.debian.org/dists/stable/updates/main/binary-arm/stunnel_3.10-0potato1_arm.deb
i386:: http://security.debian.org/dists/stable/updates/main/binary-i386/stunnel_3.10-0potato1_i386.deb
m68k:: http://security.debian.org/dists/stable/updates/main/binary-m68k/stunnel_3.10-0potato1_m68k.deb
powerpc:: http://security.debian.org/dists/stable/updates/main/binary-powerpc/stunnel_3.10-0potato1_powerpc.deb
sparc:: http://security.debian.org/dists/stable/updates/main/binary-sparc/stunnel_3.10-0potato1_sparc.deb