Bulletin d'alerte Debian
DSA-1059-1 quagga -- Plusieurs vulnérabilités
- Date du rapport :
- 19 mai 2006
- Paquets concernés :
- quagga
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Dans le système de suivi des bogues Debian : Bogue 365940, Bogue 366980.
Dans la base de données de suivi des bogues (chez SecurityFocus) : Identifiant BugTraq 17808.
Dans le dictionnaire CVE du Mitre : CVE-2006-2223, CVE-2006-2224, CVE-2006-2276. - Plus de précisions :
-
Konstantin Gavrilenko a découvert plusieurs vulnérabilités dans quagga, le démon de routage BGP/OSPF/RIP. Le projet « Common Vulnerabilities and Exposures » a identifié les problèmes suivants
- CVE-2006-2223
Des attaquants distants pouvaient obtenir des informations sensibles à l'aide de paquets REQUEST RIPv1, même si quagga était configuré pour utiliser une authentification MD5.
- CVE-2006-2224
Des attaquants distants pouvaient injecter des routes arbitraires à l'aide de paquets RESPONSE RIPv1, même si quagga était configuré pour utiliser une authentification MD5.
- CVE-2006-2276
Fredrik Widell a découvert que les utilisateurs locaux pouvaient provoquer un déni de service en entrant une certaine commande sh ip bgp dans l'interface telnet.
L'ancienne distribution stable (Woody) ne contient pas le paquet quagga.
Pour l'actuelle distribution stable (Sarge), ces problèmes ont été corrigés dans la version 0.98.3-7.2.
Pour la distribution instable (Sid), ces problèmes ont été corrigés dans la version 0.99.4-1.
Nous vous recommandons de mettre à jour votre paquet quagga.
- CVE-2006-2223
- Corrigé dans :
-
Debian GNU/Linux 3.1 (sarge)
- Source :
- http://security.debian.org/pool/updates/main/q/quagga/quagga_0.98.3-7.2.dsc
- http://security.debian.org/pool/updates/main/q/quagga/quagga_0.98.3-7.2.diff.gz
- http://security.debian.org/pool/updates/main/q/quagga/quagga_0.98.3.orig.tar.gz
- http://security.debian.org/pool/updates/main/q/quagga/quagga_0.98.3-7.2.diff.gz
- Composant indépendant de l'architecture :
- http://security.debian.org/pool/updates/main/q/quagga/quagga-doc_0.98.3-7.2_all.deb
- Alpha:
- http://security.debian.org/pool/updates/main/q/quagga/quagga_0.98.3-7.2_alpha.deb
- AMD64:
- http://security.debian.org/pool/updates/main/q/quagga/quagga_0.98.3-7.2_amd64.deb
- ARM:
- http://security.debian.org/pool/updates/main/q/quagga/quagga_0.98.3-7.2_arm.deb
- Intel IA-32:
- http://security.debian.org/pool/updates/main/q/quagga/quagga_0.98.3-7.2_i386.deb
- Intel IA-64:
- http://security.debian.org/pool/updates/main/q/quagga/quagga_0.98.3-7.2_ia64.deb
- HPPA:
- http://security.debian.org/pool/updates/main/q/quagga/quagga_0.98.3-7.2_hppa.deb
- Motorola 680x0:
- http://security.debian.org/pool/updates/main/q/quagga/quagga_0.98.3-7.2_m68k.deb
- Big endian MIPS:
- http://security.debian.org/pool/updates/main/q/quagga/quagga_0.98.3-7.2_mips.deb
- Little endian MIPS:
- http://security.debian.org/pool/updates/main/q/quagga/quagga_0.98.3-7.2_mipsel.deb
- PowerPC:
- http://security.debian.org/pool/updates/main/q/quagga/quagga_0.98.3-7.2_powerpc.deb
- IBM S/390:
- http://security.debian.org/pool/updates/main/q/quagga/quagga_0.98.3-7.2_s390.deb
- Sun Sparc:
- http://security.debian.org/pool/updates/main/q/quagga/quagga_0.98.3-7.2_sparc.deb
Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.