Bulletin d'alerte Debian

DSA-039-1 glibc -- Écrasement de fichiers locaux

Date du rapport :

8 mars 2001

Paquets concernés :

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans la base de données de suivi des bogues (chez SecurityFocus) : Identifiant BugTraq 2223.
Dans le dictionnaire CVE du Mitre : CVE-2001-0169.

Plus de précisions :

La version de GNU libc qui est distribuée avec Debian GNU/Linux 2.2 souffrée de deux problèmes de sécurité :

Il était possible d'utiliser LD_PRELOAD pour charger des bibliothèques qui sont listées dans /etc/ld.so.cache, même des programmes de root. Ceci aurait pu être utilisé pour créer (et écraser) des fichiers qu'un simple utilisateur ne peut pas accéder ;
En utilisant LD_PROFILE, les programmes de root auraient écrit un fichier dans /var/tmp, ce qui n'était pas sûre. Encore une fois, ceci aurait pu être utilisé pour créer (et écraser) des fichiers qu'un simple utilisateur ne peut pas accéder.

Les deux problèmes ont été corrigés dans la version 2.1.3-17 et nous vous recommandons de mettre à jour immédiatement vos paquets glibc.

Veuillez noter que l'effet de bord de cette mise à jour est que ldd ne sera plus opérationnel sur les programmes de root, sauf si vous êtes root vous-même.

Corrigé dans :

Debian 2.2 (potato)

Source :: http://security.debian.org/dists/stable/updates/main/source/glibc_2.1.3-17.diff.gz; http://security.debian.org/dists/stable/updates/main/source/glibc_2.1.3-17.dsc; http://security.debian.org/dists/stable/updates/main/source/glibc_2.1.3.orig.tar.gz
Composant indépendant de l'architecture :: http://security.debian.org/dists/stable/updates/main/binary-all/glibc-doc_2.1.3-17_all.deb; http://security.debian.org/dists/stable/updates/main/binary-all/i18ndata_2.1.3-17_all.deb
alpha:: http://security.debian.org/dists/stable/updates/main/binary-alpha/libc6.1-dbg_2.1.3-17_alpha.deb; http://security.debian.org/dists/stable/updates/main/binary-alpha/libc6.1-dev_2.1.3-17_alpha.deb; http://security.debian.org/dists/stable/updates/main/binary-alpha/libc6.1-pic_2.1.3-17_alpha.deb; http://security.debian.org/dists/stable/updates/main/binary-alpha/libc6.1-prof_2.1.3-17_alpha.deb; http://security.debian.org/dists/stable/updates/main/binary-alpha/libc6.1_2.1.3-17_alpha.deb; http://security.debian.org/dists/stable/updates/main/binary-alpha/libnss1-compat_2.1.3-17_alpha.deb; http://security.debian.org/dists/stable/updates/main/binary-alpha/locales_2.1.3-17_alpha.deb; http://security.debian.org/dists/stable/updates/main/binary-alpha/nscd_2.1.3-17_alpha.deb
arm:: http://security.debian.org/dists/stable/updates/main/binary-arm/libc6-dbg_2.1.3-17_arm.deb; http://security.debian.org/dists/stable/updates/main/binary-arm/libc6-dev_2.1.3-17_arm.deb; http://security.debian.org/dists/stable/updates/main/binary-arm/libc6-pic_2.1.3-17_arm.deb; http://security.debian.org/dists/stable/updates/main/binary-arm/libc6-prof_2.1.3-17_arm.deb; http://security.debian.org/dists/stable/updates/main/binary-arm/libc6_2.1.3-17_arm.deb; http://security.debian.org/dists/stable/updates/main/binary-arm/libnss1-compat_2.1.3-17_arm.deb; http://security.debian.org/dists/stable/updates/main/binary-arm/locales_2.1.3-17_arm.deb; http://security.debian.org/dists/stable/updates/main/binary-arm/nscd_2.1.3-17_arm.deb
i386:: http://security.debian.org/dists/stable/updates/main/binary-i386/libc6-dbg_2.1.3-17_i386.deb; http://security.debian.org/dists/stable/updates/main/binary-i386/libc6-dev_2.1.3-17_i386.deb; http://security.debian.org/dists/stable/updates/main/binary-i386/libc6-pic_2.1.3-17_i386.deb; http://security.debian.org/dists/stable/updates/main/binary-i386/libc6-prof_2.1.3-17_i386.deb; http://security.debian.org/dists/stable/updates/main/binary-i386/libc6_2.1.3-17_i386.deb; http://security.debian.org/dists/stable/updates/main/binary-i386/libnss1-compat_2.1.3-17_i386.deb; http://security.debian.org/dists/stable/updates/main/binary-i386/locales_2.1.3-17_i386.deb; http://security.debian.org/dists/stable/updates/main/binary-i386/nscd_2.1.3-17_i386.deb
m68k:: http://security.debian.org/dists/stable/updates/main/binary-m68k/libc6-dbg_2.1.3-17_m68k.deb; http://security.debian.org/dists/stable/updates/main/binary-m68k/libc6-dev_2.1.3-17_m68k.deb; http://security.debian.org/dists/stable/updates/main/binary-m68k/libc6-pic_2.1.3-17_m68k.deb; http://security.debian.org/dists/stable/updates/main/binary-m68k/libc6-prof_2.1.3-17_m68k.deb; http://security.debian.org/dists/stable/updates/main/binary-m68k/libc6_2.1.3-17_m68k.deb; http://security.debian.org/dists/stable/updates/main/binary-m68k/libnss1-compat_2.1.3-17_m68k.deb; http://security.debian.org/dists/stable/updates/main/binary-m68k/locales_2.1.3-17_m68k.deb; http://security.debian.org/dists/stable/updates/main/binary-m68k/nscd_2.1.3-17_m68k.deb
powerpc:: http://security.debian.org/dists/stable/updates/main/binary-powerpc/libc6-dbg_2.1.3-17_powerpc.deb; http://security.debian.org/dists/stable/updates/main/binary-powerpc/libc6-dev_2.1.3-17_powerpc.deb; http://security.debian.org/dists/stable/updates/main/binary-powerpc/libc6-pic_2.1.3-17_powerpc.deb; http://security.debian.org/dists/stable/updates/main/binary-powerpc/libc6-prof_2.1.3-17_powerpc.deb; http://security.debian.org/dists/stable/updates/main/binary-powerpc/libc6_2.1.3-17_powerpc.deb; http://security.debian.org/dists/stable/updates/main/binary-powerpc/libnss1-compat_2.1.3-17_powerpc.deb; http://security.debian.org/dists/stable/updates/main/binary-powerpc/locales_2.1.3-17_powerpc.deb; http://security.debian.org/dists/stable/updates/main/binary-powerpc/nscd_2.1.3-17_powerpc.deb
sparc:: http://security.debian.org/dists/stable/updates/main/binary-sparc/libc6-dbg_2.1.3-17_sparc.deb; http://security.debian.org/dists/stable/updates/main/binary-sparc/libc6-dev_2.1.3-17_sparc.deb; http://security.debian.org/dists/stable/updates/main/binary-sparc/libc6-pic_2.1.3-17_sparc.deb; http://security.debian.org/dists/stable/updates/main/binary-sparc/libc6-prof_2.1.3-17_sparc.deb; http://security.debian.org/dists/stable/updates/main/binary-sparc/libc6_2.1.3-17_sparc.deb; http://security.debian.org/dists/stable/updates/main/binary-sparc/libnss1-compat_2.1.3-17_sparc.deb; http://security.debian.org/dists/stable/updates/main/binary-sparc/locales_2.1.3-17_sparc.deb; http://security.debian.org/dists/stable/updates/main/binary-sparc/nscd_2.1.3-17_sparc.deb