Bulletin d'alerte Debian

DSA-219-1 dhcpcd -- Exécution de commandes à distance

Date du rapport :
31 décembre 2002
Paquets concernés :
dhcpcd
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans la base de données de suivi des bogues (chez SecurityFocus) : Identifiant BugTraq 6200.
Dans le dictionnaire CVE du Mitre : CVE-2002-1403.
Plus de précisions :

Simon Kelly a découvert une faille dans dhcpcd, un démon client DHCP compatible avec les RFC2131 et RFC1541. Un administrateur malintentionné du serveur DHCP normal ou d'un serveur DHCP non sûr peut exécuter n'importe quelle commande avec les privilèges de root sur la machine DHCP cliente en envoyant les commandes dissimulées dans les métacaractères shell contenus dans l'une des options fournies par le serveur DHCP.

Ce problème a été corrigé dans la version 1.3.17pl2-8.1 pour l'ancienne distribution stable (Potato) et dans la version 1.3.22pl2-2 pour les distributions de test (Sarge) et instable (Sid). L'actuelle distribution stable (Woody) ne contient pas de paquet dhcpcd.

Nous vous recommandons de mettre à jour votre paquet dhcpcd (sur la machine cliente).

Corrigé dans :

Debian GNU/Linux 2.2 (potato)

Source :
http://security.debian.org/pool/updates/main/d/dhcpcd/dhcpcd_1.3.17pl2-8.1.dsc
http://security.debian.org/pool/updates/main/d/dhcpcd/dhcpcd_1.3.17pl2-8.1.diff.gz
http://security.debian.org/pool/updates/main/d/dhcpcd/dhcpcd_1.3.17pl2.orig.tar.gz
Alpha:
http://security.debian.org/pool/updates/main/d/dhcpcd/dhcpcd_1.3.17pl2-8.1_alpha.deb
ARM:
http://security.debian.org/pool/updates/main/d/dhcpcd/dhcpcd_1.3.17pl2-8.1_arm.deb
Intel IA-32:
http://security.debian.org/pool/updates/main/d/dhcpcd/dhcpcd_1.3.17pl2-8.1_i386.deb
Motorola 680x0:
http://security.debian.org/pool/updates/main/d/dhcpcd/dhcpcd_1.3.17pl2-8.1_m68k.deb
PowerPC:
http://security.debian.org/pool/updates/main/d/dhcpcd/dhcpcd_1.3.17pl2-8.1_powerpc.deb
Sun Sparc:
http://security.debian.org/pool/updates/main/d/dhcpcd/dhcpcd_1.3.17pl2-8.1_sparc.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.