annonce de vulnérabilité CVE-2011-0343

syslog-ng : permissions incorrectes

Synthèse de la vulnérabilité

Sur certains systèmes, syslog-ng peut créer des fichiers de log avec des permissions incorrectes.
Produits concernés : syslog-ng.
Gravité : 2/4.
Date création : 17/01/2011.
Références : BID-45988, CVE-2011-0343, VIGILANCE-VUL-10277.

Description de la vulnérabilité

Le type mode_t stocke les permissions d'un fichier (lecture, écriture, exécution, pour le propriétaire, le groupe ou le monde).

Le fichier /usr/include/sys/types.h définit mode_t comme étant généralement un entier sur 32 bits. Cependant, FreeBSD/HP-UX définit mode_t comme un entier de 16 bits.

Le programme syslog-ng ne gère pas le cas 16 bits, et il peut alors définir le mode 0xFFFF (tout est autorisé).

Sur les systèmes définissant mode_t sur 16 bits, syslog-ng peut donc créer des fichiers de log avec des permissions incorrectes (accès en lecture/écriture pour tout le monde).
Bulletin Vigil@nce complet.... (accès gratuit)

Partagez ce bulletin

          

Service de veille sur les vulnérabilités informatiques

Vigil@nce fournit une contre-mesure de vulnérabilité applicative. La base de vulnérabilités Vigil@nce contient plusieurs milliers de failles. L'équipe Vigil@nce surveille les vulnérabilités informatiques de systèmes et d'applications. Chaque administrateur peut personnaliser la liste des produits pour lesquels il souhaite recevoir des alertes de vulnérabilités.