L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base de données de vigilance et des outils pour y remédier.

Vulnérabilité de Python : accès au service à l'aide de SimpleXMLRPCServer

Synthèse de la vulnérabilité 

Les serveurs XML-RPC écrits en Python, et utilisant le module SimpleXMLRPCServer, permettent à un attaquant distant d'accéder aux données et méthodes du service.
Logiciels vulnérables : Debian, Fedora, Mandriva Linux, openSUSE, Python, RHEL, Slackware, TurboLinux.
Gravité de cette annonce : 3/4.
Date de création : 04/02/2005.
Dates de révisions : 07/02/2005, 11/02/2005, 15/02/2005, 18/02/2005, 06/04/2005, 22/04/2005.
Références de cette vulnérabilité informatique : 20050203-01-U, BID-12437, CERTA-2005-AVI-063, CVE-2005-0089, DSA-666, DSA-666-1, FEDORA-2005-114, MDKSA-2005:035, RHSA-2005:108, RHSA-2005:109, SGI 20050203, SSA:2005-111-02, SUSE-SR:2005:005, TLSA-2005-36, V6-PYTHONXMLRPCACCESS, VIGILANCE-VUL-4723.

Description de la vulnérabilité 

Le langage Python est un langage interprété, comportant de nombreux modules additionnels. Le module SimpleXMLRPCServer, permet de développer un serveur utilisant les XML-RPC (exécution de programmes distribués, dont les données échangées sont encodées en XML).

Lorsqu'un serveur emploie la méthode register_instance() pour enregistrer un objet, sans employer la méthode _dispatch(), une vulnérabilité apparaît. En effet, un attaquant distant peut accéder (par XML-RPC) aux variables globales du module (contenant la classe de l'objet concerné). De plus, si l'objet enregistré est un module, l'attaquant peut appeler ses méthodes.

Un attaquant distant peut donc accéder aux données et méthodes de certains modules utilisés par le serveur XML-RPC.
Bulletin complet, filtrage par logiciel, emails, correctifs, ... (Demandez votre essai gratuit)

Cette annonce de menace informatique concerne les logiciels ou systèmes comme Debian, Fedora, Mandriva Linux, openSUSE, Python, RHEL, Slackware, TurboLinux.

Notre équipe Vigil@nce a déterminé que la gravité de cet avis de menace informatique est important.

Le niveau de confiance est de type confirmé par l'éditeur, avec une provenance de client intranet.

Un attaquant avec un niveau de compétence expert peut exploiter cette alerte de vulnérabilité informatique.

Solutions pour cette menace 

Python : version et patch.
De nouvelles versions seront disponibles : 2.3.5 et 2.4.1
Des patches sont proposés :
 - Python 2.2 : http://python.org/security/PSF-2005-001/patch-2.2.txt
 - Python 2.3, 2.4 : http://python.org/security/PSF-2005-001/patch.txt

Debian : nouveaux paquetages python.
De nouveaux paquetages sont disponibles :
  Source :
    http://security.debian.org/pool/updates/main/p/python2.2/python2.2_2.2.1-4.7.dsc
      Size/MD5 checksum: 1150 85a315a9618c391ce64b37d90a4b6160
    http://security.debian.org/pool/updates/main/p/python2.2/python2.2_2.2.1-4.7.diff.gz
      Size/MD5 checksum: 93937 2a941445a90fb85e18dd721beee86566
    http://security.debian.org/pool/updates/main/p/python2.2/python2.2_2.2.1.orig.tar.gz
      Size/MD5 checksum: 6536167 88aa07574673ccfaf35904253c78fc7d
  Intel IA-32 :
    http://security.debian.org/pool/updates/main/p/python2.2/python2.2_2.2.1-4.7_i386.deb
      Size/MD5 checksum: 1887968 c433c5dab40c9a40401f753d3429f10a
    http://security.debian.org/pool/updates/main/p/python2.2/python2.2-dev_2.2.1-4.7_i386.deb
      Size/MD5 checksum: 684216 27f2959507f56b5fde64f9570a5b0669
    http://security.debian.org/pool/updates/main/p/python2.2/python2.2-gdbm_2.2.1-4.7_i386.deb
      Size/MD5 checksum: 16880 c862eae493fb99c89255dbcb1658dc30
    http://security.debian.org/pool/updates/main/p/python2.2/python2.2-mpz_2.2.1-4.7_i386.deb
      Size/MD5 checksum: 20270 0bf9c9453cb32dd4a7bccb73ef0e3081
    http://security.debian.org/pool/updates/main/p/python2.2/python2.2-tk_2.2.1-4.7_i386.deb
      Size/MD5 checksum: 83506 30f744958cc90e6ec2c3dc7b5bf493f0
    http://security.debian.org/pool/updates/main/p/python2.2/python2.2-xmlbase_2.2.1-4.7_i386.deb
      Size/MD5 checksum: 48906 30778077a089ecc3b7db06c86b44f0c7

Fedora : nouveaux paquetages python.
De nouveaux paquetages sont disponibles :
http://download.fedora.redhat.com/pub/fedora/linux/core/updates/3/
630b13c1bdab4a97d19c106337a1ef13 SRPMS/python-2.3.4-13.1.src.rpm
8d8943411acc21380675cb520e2db497 x86_64/python-2.3.4-13.1.x86_64.rpm
76aaf0ce8b1df380832e136650c2ad6c x86_64/python-devel-2.3.4-13.1.x86_64.rpm
0b76e2086edf2a71cfb0aaa11715d947 x86_64/python-tools-2.3.4-13.1.x86_64.rpm
e0890269685592a16cd771347cd57871 x86_64/python-docs-2.3.4-13.1.x86_64.rpm
70f8add857c4283df874f01dd66224bd x86_64/tkinter-2.3.4-13.1.x86_64.rpm
e9af58534ac3f24ff688dac8acd2b535 x86_64/debug/python-debuginfo-2.3.4-13.1.x86_64.rpm
fa6ad54679db113a253c0d0d00cb69c2 i386/python-2.3.4-13.1.i386.rpm
51d1be66c01c752e4c1b1709088336e0 i386/python-devel-2.3.4-13.1.i386.rpm
ed20dcab56bfe0d0a585eed7ff79cf5f i386/python-tools-2.3.4-13.1.i386.rpm
99596c5ae22b6d16cbb58517238472e9 i386/python-docs-2.3.4-13.1.i386.rpm
d51c2757c47afb79a7d634aad21cd717 i386/tkinter-2.3.4-13.1.i386.rpm
45c90d5c96730eb5abba820269bce3a3 i386/debug/python-debuginfo-2.3.4-13.1.i386.rpm

Mandrake : nouveaux paquetages python.
De nouveaux paquetages sont disponibles :
 Mandrakelinux 9.2:
 a892b22a7e1f89c019e1670d7cdd60f0 9.2/RPMS/libpython2.3-2.3-3.1.92mdk.i586.rpm
 05871f84d666ea3ba9dcbfe1981b44ae 9.2/RPMS/libpython2.3-devel-2.3-3.1.92mdk.i586.rpm
 e1c0e145784a9c28dbc8d4e0ce8f564f 9.2/RPMS/python-2.3-3.1.92mdk.i586.rpm
 ecaececfba4689432bf40232ad82de34 9.2/RPMS/python-base-2.3-3.1.92mdk.i586.rpm
 95c699992a960020a837c119ac349d75 9.2/RPMS/python-docs-2.3-3.1.92mdk.i586.rpm
 b643ebf76e8283d533600179d9b64806 9.2/RPMS/tkinter-2.3-3.1.92mdk.i586.rpm
 8b7b22bd98ee80fa30889f1de4500431 9.2/SRPMS/python-2.3-3.1.92mdk.src.rpm
 Mandrakelinux 9.2/AMD64:
 f4b9e7152e31dc1c199cbb137a1a1cf0 amd64/9.2/RPMS/lib64python2.3-2.3-3.1.92mdk.amd64.rpm
 5da8eeff579d07a3a39730f962ac0360 amd64/9.2/RPMS/lib64python2.3-devel-2.3-3.1.92mdk.amd64.rpm
 7d24517e15c9ef41a6cf5796982d4c93 amd64/9.2/RPMS/python-2.3-3.1.92mdk.amd64.rpm
 dda09aea00c4688fef2baa171c64b94a amd64/9.2/RPMS/python-base-2.3-3.1.92mdk.amd64.rpm
 7ecf9b85490cde267f81370dc41d918a amd64/9.2/RPMS/python-docs-2.3-3.1.92mdk.amd64.rpm
 76ae48434564bc7522cbdf006d09ed27 amd64/9.2/RPMS/tkinter-2.3-3.1.92mdk.amd64.rpm
 8b7b22bd98ee80fa30889f1de4500431 amd64/9.2/SRPMS/python-2.3-3.1.92mdk.src.rpm
 Mandrakelinux 10.0:
 8beb720d0eae578c43ca467f9a1af0f0 10.0/RPMS/libpython2.3-2.3.3-2.1.100mdk.i586.rpm
 ef66feb9f7b7c165064fc9c7835cdb11 10.0/RPMS/libpython2.3-devel-2.3.3-2.1.100mdk.i586.rpm
 87538481a96b416bacaf24ba8e3f1cd2 10.0/RPMS/python-2.3.3-2.1.100mdk.i586.rpm
 8d1970207ff9e2476aafb904bc2358b8 10.0/RPMS/python-base-2.3.3-2.1.100mdk.i586.rpm
 f00152d2ac6dbee6c49d804bcb1d4dcd 10.0/RPMS/python-docs-2.3.3-2.1.100mdk.i586.rpm
 01b64afd5de30bd99df9e73da2f97ef9 10.0/RPMS/tkinter-2.3.3-2.1.100mdk.i586.rpm
 d360151e4588581e7d47c273e8a28abe 10.0/SRPMS/python-2.3.3-2.1.100mdk.src.rpm
 Mandrakelinux 10.0/AMD64:
 9fdbab4d563592fe73e221d46d0088d8 amd64/10.0/RPMS/lib64python2.3-2.3.3-2.1.100mdk.amd64.rpm
 0140b944f6f09185236c1e1026eb4edd amd64/10.0/RPMS/lib64python2.3-devel-2.3.3-2.1.100mdk.amd64.rpm
 0214045b468514f641c912aed17184ff amd64/10.0/RPMS/python-2.3.3-2.1.100mdk.amd64.rpm
 ed2373ac815649687a0775fe675a23f2 amd64/10.0/RPMS/python-base-2.3.3-2.1.100mdk.amd64.rpm
 8078413cf31c8e248f41b2a1435cd172 amd64/10.0/RPMS/python-docs-2.3.3-2.1.100mdk.amd64.rpm
 d60fc339f824778e9cdc4c4ad71e90de amd64/10.0/RPMS/tkinter-2.3.3-2.1.100mdk.amd64.rpm
 d360151e4588581e7d47c273e8a28abe amd64/10.0/SRPMS/python-2.3.3-2.1.100mdk.src.rpm
 Mandrakelinux 10.1:
 f2b6b56ef68da39ece17679c19974f5a 10.1/RPMS/libpython2.3-2.3.4-6.1.101mdk.i586.rpm
 5b5dfa7242a64c974cb9924258db0b7c 10.1/RPMS/libpython2.3-devel-2.3.4-6.1.101mdk.i586.rpm
 fd96e90717ac3f12ca2547cd131ab647 10.1/RPMS/python-2.3.4-6.1.101mdk.i586.rpm
 d1be4187307bcec359fce591a42cb735 10.1/RPMS/python-base-2.3.4-6.1.101mdk.i586.rpm
 44317eba795d6080caa84dc5110e6b93 10.1/RPMS/python-docs-2.3.4-6.1.101mdk.i586.rpm
 28997aa409843358d58fac301705d577 10.1/RPMS/tkinter-2.3.4-6.1.101mdk.i586.rpm
 c5f72acab1469acca0c82d147a5f9d53 10.1/SRPMS/python-2.3.4-6.1.101mdk.src.rpm
 Mandrakelinux 10.1/X86_64:
 e01470376f25024cdba630bf0f262601 x86_64/10.1/RPMS/lib64python2.3-2.3.4-6.1.101mdk.x86_64.rpm
 373bc691f9863209895a70d3fd6b3a0e x86_64/10.1/RPMS/lib64python2.3-devel-2.3.4-6.1.101mdk.x86_64.rpm
 2f60f873c8ff1e4b263f31245dd552ec x86_64/10.1/RPMS/python-2.3.4-6.1.101mdk.x86_64.rpm
 cba9bd7fedc1d0baa19e50d537630758 x86_64/10.1/RPMS/python-base-2.3.4-6.1.101mdk.x86_64.rpm
 e075976730591898d3384407d2881a1b x86_64/10.1/RPMS/python-docs-2.3.4-6.1.101mdk.x86_64.rpm
 5107f719c5019d6fb106e9b7994609ca x86_64/10.1/RPMS/tkinter-2.3.4-6.1.101mdk.x86_64.rpm
 c5f72acab1469acca0c82d147a5f9d53 x86_64/10.1/SRPMS/python-2.3.4-6.1.101mdk.src.rpm

RHEL : nouveaux paquetages python.
De nouveaux paquetages sont disponibles :
Red Hat Enterprise Linux 3 : python-2.2.3-6.1
Red Hat Enterprise Linux 4 : python-2.3.4-14.1

SGI ProPack : patch et nouveaux paquetages.
Le patch 10144 est disponible :
  http://support.sgi.com/
Des paquetages individuels sont proposés :
  ftp://oss.sgi.com/projects/sgi_propack/download/3/updates/RPMS
  ftp://oss.sgi.com/projects/sgi_propack/download/3/updates/SRPMS

Slackware : nouveaux paquetages python.
De nouveaux paquetages sont disponibles :
Slackware 8.1:
ftp://ftp.slackware.com/pub/slackware/slackware-8.1/patches/packages/python-2.2.3-i386-1.tgz
Slackware 9.0:
ftp://ftp.slackware.com/pub/slackware/slackware-9.0/patches/packages/python-2.2.3-i386-1.tgz
Slackware 9.1:
ftp://ftp.slackware.com/pub/slackware/slackware-9.1/patches/packages/python-2.3.5-i486-1.tgz
ftp://ftp.slackware.com/pub/slackware/slackware-9.1/patches/packages/python-demo-2.3.5-noarch-1.tgz
ftp://ftp.slackware.com/pub/slackware/slackware-9.1/patches/packages/python-tools-2.3.5-noarch-1.tgz
Slackware 10.0:
ftp://ftp.slackware.com/pub/slackware/slackware-10.0/patches/packages/python-2.3.5-i486-1.tgz
ftp://ftp.slackware.com/pub/slackware/slackware-10.0/patches/packages/python-demo-2.3.5-noarch-1.tgz
ftp://ftp.slackware.com/pub/slackware/slackware-10.0/patches/packages/python-tools-2.3.5-noarch-1.tgz
Slackware 10.1:
ftp://ftp.slackware.com/pub/slackware/slackware-10.1/patches/packages/python-2.4.1-i486-1.tgz
ftp://ftp.slackware.com/pub/slackware/slackware-10.1/patches/packages/python-demo-2.4.1-noarch-1.tgz
ftp://ftp.slackware.com/pub/slackware/slackware-10.1/patches/packages/python-tools-2.4.1-noarch-1.tgz

SuSE : nouveaux paquetages enscript, clamav, postgresql, python, openssh, gftp et openldap2.
De nouveaux paquetages sont disponibles par FTP ou YaST.

TurboLinux : nouveaux paquetages python.
De nouveaux paquetages sont disponibles :
Turbolinux Appliance Server 1.0 : python-2.2.1-5
Turbolinux 10 Server : python-2.3.4-2
Turbolinux 10 Desktop : python-2.3-5
Turbolinux 8 Server : python-2.2.1-5
Turbolinux 8 Workstation : python-2.2-4
Bulletin complet, filtrage par logiciel, emails, correctifs, ... (Demandez votre essai gratuit)

Service de veille sur les vulnérabilités informatiques 

Vigil@nce fournit une base cyber-sécurité. La base de vulnérabilités Vigil@nce contient plusieurs milliers de failles.