Bulletin d'alerte Debian

DSA-1059-1 quagga -- Plusieurs vulnérabilités

Date du rapport :
19 mai 2006
Paquets concernés :
quagga
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 365940, Bogue 366980.
Dans la base de données de suivi des bogues (chez SecurityFocus) : Identifiant BugTraq 17808.
Dans le dictionnaire CVE du Mitre : CVE-2006-2223, CVE-2006-2224, CVE-2006-2276.
Plus de précisions :

Konstantin Gavrilenko a découvert plusieurs vulnérabilités dans quagga, le démon de routage BGP/OSPF/RIP. Le projet « Common Vulnerabilities and Exposures » a identifié les problèmes suivants 

  • CVE-2006-2223

    Des attaquants distants pouvaient obtenir des informations sensibles à l'aide de paquets REQUEST RIPv1, même si quagga était configuré pour utiliser une authentification MD5.

  • CVE-2006-2224

    Des attaquants distants pouvaient injecter des routes arbitraires à l'aide de paquets RESPONSE RIPv1, même si quagga était configuré pour utiliser une authentification MD5.

  • CVE-2006-2276

    Fredrik Widell a découvert que les utilisateurs locaux pouvaient provoquer un déni de service en entrant une certaine commande sh ip bgp dans l'interface telnet.

L'ancienne distribution stable (Woody) ne contient pas le paquet quagga.

Pour l'actuelle distribution stable (Sarge), ces problèmes ont été corrigés dans la version 0.98.3-7.2.

Pour la distribution instable (Sid), ces problèmes ont été corrigés dans la version 0.99.4-1.

Nous vous recommandons de mettre à jour votre paquet quagga.

Corrigé dans :

Debian GNU/Linux 3.1 (sarge)

Source :
http://security.debian.org/pool/updates/main/q/quagga/quagga_0.98.3-7.2.dsc
http://security.debian.org/pool/updates/main/q/quagga/quagga_0.98.3-7.2.diff.gz
http://security.debian.org/pool/updates/main/q/quagga/quagga_0.98.3.orig.tar.gz
Composant indépendant de l'architecture :
http://security.debian.org/pool/updates/main/q/quagga/quagga-doc_0.98.3-7.2_all.deb
Alpha:
http://security.debian.org/pool/updates/main/q/quagga/quagga_0.98.3-7.2_alpha.deb
AMD64:
http://security.debian.org/pool/updates/main/q/quagga/quagga_0.98.3-7.2_amd64.deb
ARM:
http://security.debian.org/pool/updates/main/q/quagga/quagga_0.98.3-7.2_arm.deb
Intel IA-32:
http://security.debian.org/pool/updates/main/q/quagga/quagga_0.98.3-7.2_i386.deb
Intel IA-64:
http://security.debian.org/pool/updates/main/q/quagga/quagga_0.98.3-7.2_ia64.deb
HPPA:
http://security.debian.org/pool/updates/main/q/quagga/quagga_0.98.3-7.2_hppa.deb
Motorola 680x0:
http://security.debian.org/pool/updates/main/q/quagga/quagga_0.98.3-7.2_m68k.deb
Big endian MIPS:
http://security.debian.org/pool/updates/main/q/quagga/quagga_0.98.3-7.2_mips.deb
Little endian MIPS:
http://security.debian.org/pool/updates/main/q/quagga/quagga_0.98.3-7.2_mipsel.deb
PowerPC:
http://security.debian.org/pool/updates/main/q/quagga/quagga_0.98.3-7.2_powerpc.deb
IBM S/390:
http://security.debian.org/pool/updates/main/q/quagga/quagga_0.98.3-7.2_s390.deb
Sun Sparc:
http://security.debian.org/pool/updates/main/q/quagga/quagga_0.98.3-7.2_sparc.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.