L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base de données de vigilance et des outils pour y remédier.

Vulnérabilité de AIX : attaque par format de auditselect

Synthèse de la vulnérabilité 

Un attaquant local, membre du groupe audit, peut obtenir les droits root.
Logiciels vulnérables : AIX.
Gravité de cette annonce : 1/4.
Date de création : 09/02/2005.
Dates de révisions : 01/03/2005, 20/05/2005.
Références de cette vulnérabilité informatique : BID-12496, CERTA-2005-AVI-064, CVE-2005-0250, iDEFENSE Security Advisory 02.08.05, V6-AIXAUDITSELECTFMT, VIGILANCE-VUL-4735, VU#896729.

Description de la vulnérabilité 

La commande auditselect permet de sélectionner des enregistrements d'audit. Cette commande est installée suid root, et seuls les membres du groupe audit peuvent l'employer.

Cette commande est par exemple employée ainsi, pour filtrer les exécutions liées à un utilisateur :
  auditselect -e "login==util && event==PROC_Execute"

Le nom du filtre passé en argument est utilisé dans une fonction de formatage de la famille printf. Un attaquant local peut donc employer un nom contenant des caractères de formatage (%s, %n, etc.) afin de provoquer une attaque par format.

Cette vulnérabilité permet ainsi, à un attaquant local membre du groupe audit, d'obtenir les privilèges root.
Bulletin complet, filtrage par logiciel, emails, correctifs, ... (Demandez votre essai gratuit)

Cette annonce de vulnérabilité concerne les logiciels ou systèmes comme AIX.

Notre équipe Vigil@nce a déterminé que la gravité de cette annonce de faille est faible.

Le niveau de confiance est de type confirmé par un tiers de confiance, avec une provenance de shell utilisateur.

Un attaquant avec un niveau de compétence expert peut exploiter cette annonce de faille informatique.

Solutions pour cette menace 

AIX : solution pour auditselect.
Des APARs sont disponibles :
  AIX 5.1.0: IY67802
  AIX 5.2.0: IY67472
  AIX 5.3.0: IY67519
 
Une contre-mesure consiste à enlever le bit suid (et seul root peut exécuter) :
  chmod 500 /usr/sbin/auditselect
Bulletin complet, filtrage par logiciel, emails, correctifs, ... (Demandez votre essai gratuit)

Service de veille sur les vulnérabilités informatiques 

Vigil@nce fournit un patch de vulnérabilités logicielles. La cellule de veille technologique suit les menaces sécurité qui ciblent le parc informatique.