Bulletin d'alerte Debian
DSA-219-1 dhcpcd -- Exécution de commandes à distance
- Date du rapport :
- 31 décembre 2002
- Paquets concernés :
- dhcpcd
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Dans la base de données de suivi des bogues (chez SecurityFocus) : Identifiant BugTraq 6200.
Dans le dictionnaire CVE du Mitre : CVE-2002-1403. - Plus de précisions :
-
Simon Kelly a découvert une faille dans dhcpcd, un démon client DHCP compatible avec les RFC2131 et RFC1541. Un administrateur malintentionné du serveur DHCP normal ou d'un serveur DHCP non sûr peut exécuter n'importe quelle commande avec les privilèges de root sur la machine DHCP cliente en envoyant les commandes dissimulées dans les métacaractères shell contenus dans l'une des options fournies par le serveur DHCP.
Ce problème a été corrigé dans la version 1.3.17pl2-8.1 pour l'ancienne distribution stable (Potato) et dans la version 1.3.22pl2-2 pour les distributions de test (Sarge) et instable (Sid). L'actuelle distribution stable (Woody) ne contient pas de paquet dhcpcd.
Nous vous recommandons de mettre à jour votre paquet dhcpcd (sur la machine cliente).
- Corrigé dans :
-
Debian GNU/Linux 2.2 (potato)
- Source :
- http://security.debian.org/pool/updates/main/d/dhcpcd/dhcpcd_1.3.17pl2-8.1.dsc
- http://security.debian.org/pool/updates/main/d/dhcpcd/dhcpcd_1.3.17pl2-8.1.diff.gz
- http://security.debian.org/pool/updates/main/d/dhcpcd/dhcpcd_1.3.17pl2.orig.tar.gz
- http://security.debian.org/pool/updates/main/d/dhcpcd/dhcpcd_1.3.17pl2-8.1.diff.gz
- Alpha:
- http://security.debian.org/pool/updates/main/d/dhcpcd/dhcpcd_1.3.17pl2-8.1_alpha.deb
- ARM:
- http://security.debian.org/pool/updates/main/d/dhcpcd/dhcpcd_1.3.17pl2-8.1_arm.deb
- Intel IA-32:
- http://security.debian.org/pool/updates/main/d/dhcpcd/dhcpcd_1.3.17pl2-8.1_i386.deb
- Motorola 680x0:
- http://security.debian.org/pool/updates/main/d/dhcpcd/dhcpcd_1.3.17pl2-8.1_m68k.deb
- PowerPC:
- http://security.debian.org/pool/updates/main/d/dhcpcd/dhcpcd_1.3.17pl2-8.1_powerpc.deb
- Sun Sparc:
- http://security.debian.org/pool/updates/main/d/dhcpcd/dhcpcd_1.3.17pl2-8.1_sparc.deb
Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.