Debian-Sicherheitsankündigung

DSA-111-1 ucd-snmp -- Entfernter Angriff

Datum des Berichts:

14. Feb 2002

Betroffene Pakete:

Verwundbar:

Sicherheitsdatenbanken-Referenzen:

In Mitres CVE-Verzeichnis: CVE-2002-0012, CVE-2002-0013.
CERTs Verwundbarkeiten, Hinweise und Ereignis-Notizen: VU#854306, VU#107186, CA-2002-03.

Weitere Informationen:

Die Secure Programming Group der Oulu Universität machte eine Studie über SNMP-Implementierungen und entdeckte mehrere Probleme, die Probleme im Bereich von Denial-of-Service-Angriffen bis zu entfernten Verwundbarkeiten verursachen können.

Neue UCD-SNMP Pakete wurden vorbereitet, um diese Probleme und auch ein paar andere zu beheben. Hier die komplette Liste der behobenen Probleme:

Wenn externe Programme aufgerufen werden, verwendete snmpd temporäre Dateien unsicher
snmpd hat ergänzende Gruppen nicht ordnungsgemäß zurückgesetzt, nachdem er die uid und gid geändert hat
Der meiste Code wurde geändert, um Puffer zu verwenden statt Zeichenketten mit fixen Längen, um Pufferüberläufen vorzubeugen
Der ASN.1 Parser prüfte nicht auf negative Längen
Die IFINDEX Antwort-Behandlung in snmpnetstat führte keine Sinnhaftigkeitsprüfung der Eingabe durch

(Danke an Caldera für die meiste Arbeit an diesen Patches)

Die neue Version ist 4.1.1-2.1 und wir empfehlen Ihnen, Ihre snmp Pakete unverzüglich zu aktualisieren.

Behoben in:

Debian GNU/Linux 2.2 (potato)

Quellcode:: http://security.debian.org/dists/stable/updates/main/source/ucd-snmp_4.1.1-2.2.diff.gz; http://security.debian.org/dists/stable/updates/main/source/ucd-snmp_4.1.1-2.2.dsc; http://security.debian.org/dists/stable/updates/main/source/ucd-snmp_4.1.1.orig.tar.gz
Alpha:: http://security.debian.org/dists/stable/updates/main/binary-alpha/libsnmp4.1-dev_4.1.1-2.2_alpha.deb; http://security.debian.org/dists/stable/updates/main/binary-alpha/libsnmp4.1_4.1.1-2.2_alpha.deb; http://security.debian.org/dists/stable/updates/main/binary-alpha/snmp_4.1.1-2.2_alpha.deb; http://security.debian.org/dists/stable/updates/main/binary-alpha/snmpd_4.1.1-2.2_alpha.deb
ARM:: http://security.debian.org/dists/stable/updates/main/binary-arm/libsnmp4.1-dev_4.1.1-2.2_arm.deb; http://security.debian.org/dists/stable/updates/main/binary-arm/libsnmp4.1_4.1.1-2.2_arm.deb; http://security.debian.org/dists/stable/updates/main/binary-arm/snmp_4.1.1-2.2_arm.deb; http://security.debian.org/dists/stable/updates/main/binary-arm/snmpd_4.1.1-2.2_arm.deb
Intel IA-32:: http://security.debian.org/dists/stable/updates/main/binary-i386/libsnmp4.1-dev_4.1.1-2.2_i386.deb; http://security.debian.org/dists/stable/updates/main/binary-i386/libsnmp4.1_4.1.1-2.2_i386.deb; http://security.debian.org/dists/stable/updates/main/binary-i386/snmp_4.1.1-2.2_i386.deb; http://security.debian.org/dists/stable/updates/main/binary-i386/snmpd_4.1.1-2.2_i386.deb
Motorola 680x0:: http://security.debian.org/dists/stable/updates/main/binary-m68k/libsnmp4.1-dev_4.1.1-2.2_m68k.deb; http://security.debian.org/dists/stable/updates/main/binary-m68k/libsnmp4.1_4.1.1-2.2_m68k.deb; http://security.debian.org/dists/stable/updates/main/binary-m68k/snmp_4.1.1-2.2_m68k.deb; http://security.debian.org/dists/stable/updates/main/binary-m68k/snmpd_4.1.1-2.2_m68k.deb
Sun Sparc:: http://security.debian.org/dists/stable/updates/main/binary-sparc/libsnmp4.1-dev_4.1.1-2.2_sparc.deb; http://security.debian.org/dists/stable/updates/main/binary-sparc/libsnmp4.1_4.1.1-2.2_sparc.deb; http://security.debian.org/dists/stable/updates/main/binary-sparc/snmp_4.1.1-2.2_sparc.deb; http://security.debian.org/dists/stable/updates/main/binary-sparc/snmpd_4.1.1-2.2_sparc.deb

MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.