Bulletin d'alerte Debian

DSA-009-1 stunnel -- Manipulation non sécurisée de fichiers et bogue de format de chaîne

Date du rapport :
25 décembre 2000
Paquets concernés :
stunnel
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2001-0060.
Plus de précisions :
Lez a découvert un problème de format de chaîne dans stunnel (un outil qui permet la création d'un tunnel SSL universel pour d'autres démons réseau). Brian Hatch a répondu en disant qu'il prépare une nouvelle version avec de nombreuses mises à jour de sécurité :
  1. Le PRNG (généré pseudo-aléatoirement) n'était pas initialisé correctement. Cela affecte seulement les opérations sur les systèmes d'exploitation sans générateur aléatoire sécurisé (comme Linux) ;
  2. Les fichiers Pid ne sont pas créés de manière sécurisée, rendant stunnel vulnérable aux attaques par lien symbolique ;
  3. Il y a un appel non sécurisé de syslog() qui peut être utilisé si un utilisateur peut insérer du texte dans le texte archivé. Au moins une démonstration de Lez a permis de mettre en évidence de fausses réponses de identd.

Ces problèmes ont été résolus dans la version 3.10-0potato1.

Corrigé dans :

Debian 2.2 (potato)

Source :
http://security.debian.org/dists/stable/updates/main/source/stunnel_3.10-0potato1.diff.gz
http://security.debian.org/dists/stable/updates/main/source/stunnel_3.10-0potato1.dsc
http://security.debian.org/dists/stable/updates/main/source/stunnel_3.10.orig.tar.gz
alpha:
http://security.debian.org/dists/stable/updates/main/binary-alpha/stunnel_3.10-0potato1_alpha.deb
arm:
http://security.debian.org/dists/stable/updates/main/binary-arm/stunnel_3.10-0potato1_arm.deb
i386:
http://security.debian.org/dists/stable/updates/main/binary-i386/stunnel_3.10-0potato1_i386.deb
m68k:
http://security.debian.org/dists/stable/updates/main/binary-m68k/stunnel_3.10-0potato1_m68k.deb
powerpc:
http://security.debian.org/dists/stable/updates/main/binary-powerpc/stunnel_3.10-0potato1_powerpc.deb
sparc:
http://security.debian.org/dists/stable/updates/main/binary-sparc/stunnel_3.10-0potato1_sparc.deb