L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base de données et des outils pour y remédier.

Vulnérabilité de bash : deux dénis de service

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de bash.
Gravité de cette alerte : 1/4.
Nombre de vulnérabilités dans ce bulletin : 2.
Date création : 29/09/2014.
Références de cette alerte : 193355, 193866, 194029, 194064, 194669, 480931, c04475942, c04479492, CERTFR-2014-AVI-403, CERTFR-2014-AVI-415, CERTFR-2014-AVI-480, CTX200217, CTX200223, CVE-2014-7186, CVE-2014-7187, ESA-2014-111, ESA-2014-123, ESA-2014-124, ESA-2014-125, ESA-2014-126, ESA-2014-127, ESA-2014-128, ESA-2014-133, ESA-2014-136, ESA-2014-150, ESA-2014-151, ESA-2014-152, ESA-2014-162, HPSBGN03138, HPSBMU03144, JSA10648, JSA10661, MDVSA-2015:164, openSUSE-SU-2014:1229-1, openSUSE-SU-2014:1242-1, openSUSE-SU-2014:1248-1, openSUSE-SU-2014:1308-1, openSUSE-SU-2014:1310-1, RHSA-2014:1311-01, RHSA-2014:1312-01, RHSA-2014:1354-01, RHSA-2014:1865-01, SB10085, sk102673, SOL15629, SSA-860967, SUSE-SU-2014:1247-1, SUSE-SU-2014:1247-2, T1021272, USN-2364-1, VIGILANCE-VUL-15419, VMSA-2014-0010, VMSA-2014-0010.10, VMSA-2014-0010.11, VMSA-2014-0010.12, VMSA-2014-0010.13, VMSA-2014-0010.2, VMSA-2014-0010.4, VMSA-2014-0010.7, VMSA-2014-0010.8, VMSA-2014-0010.9.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans bash.

Un attaquant peut forcer la lecture à une adresse invalide dans redir_stack, afin de mener un déni de service. [grav:1/4; CVE-2014-7186]

Un attaquant peut provoquer un buffer overflow d'un octet dans word_lineno, afin de mener un déni de service, et éventuellement d'exécuter du code. [grav:1/4; CVE-2014-7187]
Bulletin complet, filtrage par logiciel, emails, correctifs, ... (Demandez votre essai gratuit)

Ce bulletin de menace concerne les logiciels ou systèmes comme GAiA, CheckPoint IP Appliance, IPSO, SecurePlatform, CheckPoint Security Appliance, CheckPoint Smart-1, CheckPoint VSX-1, XenServer, Clearswift Email Gateway, Clearswift Web Gateway, Avamar, EMC CAVA, EMC CEE, EMC CEPA, Celerra FAST, Celerra NS, Celerra NX4, EMC CMDCE, Connectrix Switch, NetWorker, PowerPath, Unisphere EMC, VNX Operating Environment, VNX Series, BIG-IP Hardware, TMOS, HP Operations, AIX, IVE OS, Junos Space, MAG Series par Juniper, NSM Central Manager, NSMXpress, Juniper SA, Juniper UAC, McAfee Email and Web Security, McAfee Email Gateway, McAfee MOVE AntiVirus, McAfee NSP, McAfee NGFW, McAfee Web Gateway, openSUSE, Solaris, RealPresence Collaboration Server, RealPresence Distributed Media Application, Polycom VBP, RHEL, RSA Authentication Manager, ROX, RuggedSwitch, Stonesoft NGFW/VPN, SUSE Linux Enterprise Desktop, SLES, Ubuntu, Unix (plateforme) ~ non exhaustif, ESX, vCenter Server, VMware vSphere.

Notre équipe Vigil@nce a déterminé que la gravité de cet avis de faille informatique est faible.

Le niveau de confiance est de type confirmé par l'éditeur, avec une provenance de document.

Ce bulletin concerne 2 vulnérabilités.

Un attaquant avec un niveau de compétence expert peut exploiter ce bulletin sécurité.

Solutions pour cette menace

bash : patch pour déni de service.
Un patch est disponible dans les sources d'information.

AIX Toolbox for Linux : solution pour bash.
La solution est indiquée dans les sources d'information.

Check Point : solution pour bash.
La solution est indiquée dans les sources d'information.

Citrix : solution pour bash.
La solution est indiquée dans les sources d'information.

Clearswift SECURE Email Gateway : version 3.8.3.
La version 3.8.3 est corrigée :
  http://www.clearswift.net/

Clearswift SECURE Web Gateway : version 3.2.3.
La version 3.2.3 est corrigée :
  http://www.clearswift.net/

EMC : solution pour bash.
La solution est indiquée dans les sources d'information.

EMC Unisphere : solution pour bash.
La solution est indiquée dans les sources d'information.

F5 BIG-IP : solution pour bash.
La solution est indiquée dans les sources d'information.

HP Operation Agent Virtual Appliance : patch pour Bash.
Un patch est disponible :
  https://softwaresupport.hp.com/group/softwaresupport/search-result/-/facetsearch/document/KM01206384

HP Operations Analytics : patch pour Bash.
Un patch est disponible :
  https://softwaresupport.hp.com/group/softwaresupport/search-result/-/facetsearch/document/KM01198565

Juniper NSM : upgrade package v3.
Un patch est disponible :
  https://webdownload.juniper.net/swdl/dl/secure/site/1/record/56122.html
  https://webdownload.juniper.net/swdl/dl/secure/site/1/record/56123.html

Juniper : solution pour bash.
La solution est indiquée dans les sources d'information.

Mandriva BS2 : nouveaux paquetages bash.
De nouveaux paquetages sont disponibles :
  Mandriva BS2 : bash 4.2-53.1.mbs2

McAfee : solution pour bash.
La solution est indiquée dans les sources d'information.

openSUSE 12.3 : nouveaux paquetages bash.
De nouveaux paquetages sont disponibles :
  openSUSE 12.3 : bash 4.2-61.19.1
Ce paquet remplace ceux mentionnées dans les bulletins VIGILANCE-SOL-36803 et VIGILANCE-SOL-36804.

openSUSE 13.1 : nouveaux paquetages bash.
De nouveaux paquetages sont disponibles :
  openSUSE 13.1 : bash 4.2-68.12.1
Ce paquet remplace ceux mentionnées dans les bulletins VIGILANCE-SOL-36803 et VIGILANCE-SOL-36804.

openSUSE : nouveaux paquetages bash.
De nouveaux paquetages sont disponibles :
  openSUSE 12.3 : bash 4.2-61.15.1
  openSUSE 13.1 : bash 4.2-68.8.1

Polycom : solution pour bash.
La solution est indiquée dans les sources d'information.

RHEL : nouveaux paquetages bash (29/09/2014).
De nouveaux paquetages sont disponibles, comme indiqué dans les sources d'informations.

RHEV-M 3.4 : nouveaux paquetages rhev-hypervisor6.
De nouveaux paquetages sont disponibles :
  RHEL 6 : rhev-hypervisor6 6.5-20140930.1.el6ev

RSA Authentication Manager : solution pour bash.
La solution est indiquée dans les sources d'information.

Siemens ROX : solution pour bash.
La solution est indiquée dans les sources d'information.

Solaris : patch pour bash.
Un patch est disponible :
  https://support.oracle.com/rs?type=doc&id=1930090.1
Un patch est disponible :
  Solaris 11.2 : version 11.2.2.8.0
  Solaris 10 :
    SPARC: 126546-07
    X86: 126547-07
  Solaris 9
    SPARC: 149079-03
    X86: 149080-02

SUSE LE : nouveaux paquetages bash.
De nouveaux paquetages sont disponibles :
  SUSE LE 10 : bash 3.1-24.34.1
  SUSE LE 11 : bash 3.2-147.22.1

Ubuntu : nouveaux paquetages bash.
De nouveaux paquetages sont disponibles :
  Ubuntu 14.04 LTS : bash 4.3-7ubuntu1.4
  Ubuntu 12.04 LTS : bash 4.2-2ubuntu2.5
  Ubuntu 10.04 LTS : bash 4.1-2ubuntu3.4

VMware : solution pour bash.
La solution est indiquée dans les sources d'information.
Bulletin complet, filtrage par logiciel, emails, correctifs, ... (Demandez votre essai gratuit)

Service de veille sur les vulnérabilités informatiques

Vigil@nce fournit une analyse cyber-sécurité. Chaque administrateur peut personnaliser la liste des produits pour lesquels il souhaite recevoir des alertes de vulnérabilités.