Bulletin d'alerte Debian

DSA-679-1 toolchain-source -- Fichiers temporaires non sécurisés

Date du rapport :

14 février 2005

Paquets concernés :

toolchain-source

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2005-0159.

Plus de précisions :

Sean Finney a découvert plusieurs cas d'utilisation de fichiers temporaires non sécurisés dans toolchain-source, composé de GNU binutils et des scripts, et des sources de GCC. Ces bogues permettaient à un attaquant local avec un minimum de connaissances de duper l'administrateur en écrasant des fichiers arbitraires par une attaque par lien symbolique. Le problème existe dans les scripts tpkg-* spécifiques à Debian.

Pour l'actuelle distribution stable (Woody), ces problèmes ont été corrigés dans la version 3.0.4-1woody1.

Pour la distribution instable (Sid), ces problèmes ont été corrigés dans la version 3.4-5.

Nous vous recommandons de mettre à jour votre paquet toolchain-source.

Corrigé dans :

Debian GNU/Linux 3.0 (woody)

Source :: http://security.debian.org/pool/updates/main/t/toolchain-source/toolchain-source_3.0.4-1woody1.dsc; http://security.debian.org/pool/updates/main/t/toolchain-source/toolchain-source_3.0.4-1woody1.tar.gz
Composant indépendant de l'architecture :: http://security.debian.org/pool/updates/main/t/toolchain-source/toolchain-source_3.0.4-1woody1_all.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.