Bulletin d'alerte Debian

DSA-489-1 linux-kernel-2.4.17-mips+mipsel -- Plusieurs failles de sécurité

Date du rapport :
17 avril 2004
Paquets concernés :
kernel-source-2.4.17 kernel-patch-2.4.17-mips
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans la base de données de suivi des bogues (chez SecurityFocus) : Identifiant BugTraq 10141, Identifiant BugTraq 10152, Identifiant BugTraq 9570, Identifiant BugTraq 9691, Identifiant BugTraq 9985, Identifiant BugTraq 10152.
Dans le dictionnaire CVE du Mitre : CVE-2004-0003, CVE-2004-0010, CVE-2004-0109, CVE-2004-0177, CVE-2004-0178.
Plus de précisions :

Plusieurs problèmes sérieux ont été découverts dans le noyau Linux. Cette mise à jour s'occupe de Linux 2.4.17 pour les architectures MIPS et MIPSel. Le projet Common Vulnerabilities and Exposures identifie les problèmes suivants qui seront corrigés avec la mise à jour :

  • CAN-2004-0003

    Une faille de sécurité a été découverte dans le pilote R128 DRI du noyau Linux qui pouvait potentiellement conduire un attaquant à obtenir des privilèges non autorisés. Alan Cox et Thomas Biege ont développé un correctif.

  • CAN-2004-0010

    Arjan van de Ven a découvert un dépassement de pile dans la fonction ncp_lookup pour ncpfs dans le noyau Linux, qui pouvait permettre à un attaquant d'obtenir privilèges non autorisés. Petr Vandrovec a développé un correctif.

  • CAN-2004-0109

    zen-parse a découvert un dépassement de tampon dans un composant du système de fichiers ISO9660 du noyau Linux qui pouvait être abusé par un attaquant afin d'obtenir l'accès root. Sebastian Krahmer et Ernie Petrides ont développé un correctif.

  • CAN-2004-0177

    Solar Designer a découvert une fuite d'information dans le code ext3 de Linux. Dans le pire cas, un attaquant pouvait lire des données sensibles such comme des clés cryptographiques mais il ne pouvait pas toucher le stockage. Theodore Ts'o a développé un correctif.

  • CAN-2004-0178

    Andreas Kies a découvert des conditions pour faire un déni de service dans le pilote Sound Blaster de Linux. Il a aussi développé le correctif.

Ces problèmes sont aussi corrigés par la version originale de Linux 2.4.26 et sera corrigé dans Linux 2.6.6.

La matrix de sécurité suivante explique quels noyaux choisir pour telle architecture pour qu'ils soient corrigés et ceux à remplacer.

Architecture stable (Woody) instable (Sid) à remplacer Sid
source 2.4.17-1.woody3 2.4.25-3 2.4.19-11
mips 2.4.17-0.020226.2.woody6 2.4.25-0.040415.1 2.4.19-0.020911.8
mipsel 2.4.17-0.020226.2.woody6 2.4.25-0.040415.1 2.4.19-0.020911.9

Nous vous recommandons de mettre à jour vos paquets kernel immédiatement grâce à un noyau fourni par Debian soit compilé par vos soins.

Matrice de synthèse des failles de sécurité pour CAN-2004-0109.

Corrigé dans :

Debian GNU/Linux 3.0 (woody)

Source :
http://security.debian.org/pool/updates/main/k/kernel-source-2.4.17/kernel-source-2.4.17_2.4.17-1woody3.dsc
http://security.debian.org/pool/updates/main/k/kernel-source-2.4.17/kernel-source-2.4.17_2.4.17-1woody3.diff.gz
http://security.debian.org/pool/updates/main/k/kernel-source-2.4.17/kernel-source-2.4.17_2.4.17.orig.tar.gz
http://security.debian.org/pool/updates/main/k/kernel-patch-2.4.17-mips/kernel-patch-2.4.17-mips_2.4.17-0.020226.2.woody6.dsc
http://security.debian.org/pool/updates/main/k/kernel-patch-2.4.17-mips/kernel-patch-2.4.17-mips_2.4.17-0.020226.2.woody6.tar.gz
Composant indépendant de l'architecture :
http://security.debian.org/pool/updates/main/k/kernel-source-2.4.17/kernel-doc-2.4.17_2.4.17-1woody3_all.deb
http://security.debian.org/pool/updates/main/k/kernel-source-2.4.17/kernel-source-2.4.17_2.4.17-1woody3_all.deb
http://security.debian.org/pool/updates/main/k/kernel-patch-2.4.17-mips/kernel-patch-2.4.17-mips_2.4.17-0.020226.2.woody6_all.deb
Big endian MIPS:
http://security.debian.org/pool/updates/main/k/kernel-patch-2.4.17-mips/kernel-headers-2.4.17_2.4.17-0.020226.2.woody6_mips.deb
http://security.debian.org/pool/updates/main/k/kernel-patch-2.4.17-mips/kernel-image-2.4.17-r4k-ip22_2.4.17-0.020226.2.woody6_mips.deb
http://security.debian.org/pool/updates/main/k/kernel-patch-2.4.17-mips/kernel-image-2.4.17-r5k-ip22_2.4.17-0.020226.2.woody6_mips.deb
Little endian MIPS:
http://security.debian.org/pool/updates/main/k/kernel-patch-2.4.17-mips/kernel-headers-2.4.17_2.4.17-0.020226.2.woody6_mipsel.deb
http://security.debian.org/pool/updates/main/k/kernel-patch-2.4.17-mips/kernel-image-2.4.17-r3k-kn02_2.4.17-0.020226.2.woody6_mipsel.deb
http://security.debian.org/pool/updates/main/k/kernel-patch-2.4.17-mips/kernel-image-2.4.17-r4k-kn04_2.4.17-0.020226.2.woody6_mipsel.deb
http://security.debian.org/pool/updates/main/k/kernel-patch-2.4.17-mips/mips-tools_2.4.17-0.020226.2.woody6_mipsel.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.