L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

Vulnérabilités informatiques de syslog-ng

vulnérabilité 17700

syslog-ng : lecture de mémoire non accessible via HOST

Synthèse de la vulnérabilité

Un attaquant peut forcer la lecture à une adresse invalide via $HOST sur syslog-ng, afin de lire un fragment de la mémoire ou de mener un déni de service.
Produits concernés : syslog-ng.
Gravité : 2/4.
Conséquences : lecture de données, déni de service du service, déni de service du client.
Provenance : shell utilisateur.
Confiance : confirmé par l'éditeur (5/5).
Date création : 18/08/2015.
Références : VIGILANCE-VUL-17700.

Description de la vulnérabilité

Le produit syslog-ng utilise le nom de serveur dans la variable $HOST.

Cependant, si cette variable est trop longue, une incohérence de taille force syslog-ng à lire une zone mémoire non initialisée ou qui n'est pas accessible, ce qui provoque une erreur fatale.

Un attaquant peut donc forcer la lecture à une adresse invalide via $HOST sur syslog-ng, afin de lire un fragment de la mémoire ou de mener un déni de service.
Bulletin Vigil@nce complet.... (Essai gratuit)

annonce de vulnérabilité informatique 15077

syslog-ng : fuite mémoire

Synthèse de la vulnérabilité

Un attaquant peut provoquer une fuite mémoire de syslog-ng, afin de mener un déni de service.
Produits concernés : syslog-ng.
Gravité : 1/4.
Conséquences : déni de service du serveur, déni de service du service, déni de service du client.
Provenance : client intranet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 21/07/2014.
Références : VIGILANCE-VUL-15077.

Description de la vulnérabilité

Le produit syslog-ng journalise les messages.

Cependant, la mémoire allouée pour traiter certains messages n'est jamais libérée.

Un attaquant peut donc provoquer une fuite mémoire de syslog-ng, afin de mener un déni de service.
Bulletin Vigil@nce complet.... (Essai gratuit)

bulletin de vulnérabilité informatique CVE-2011-1951

syslog-ng : boucle infinie via PCRE et global

Synthèse de la vulnérabilité

Lorsque la configuration de syslog-ng emploie une réécriture avec PCRE et global, un attaquant peut journaliser un message illicite, afin de provoquer une boucle infinie.
Produits concernés : Fedora, syslog-ng.
Gravité : 1/4.
Conséquences : déni de service du service.
Provenance : client intranet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 12/05/2011.
Références : BID-47800, CVE-2011-1951, FEDORA-2011-7176, FEDORA-2011-8405, VIGILANCE-VUL-10648.

Description de la vulnérabilité

La directive "rewrite" du fichier de configuration de syslog-ng indique des modifications à effectuer sur le message avant de le journaliser. Cette réécriture peut employer une expression régulière Perl (PREG) et être globale. Par exemple :
  rewrite r_ip { subst("motif", "remplacement", ... type("pcre"), flags("global")); };

La fonction log_matcher_pcre_re_match() du fichier lib/logmatcher.c implémente la recherche de motif PREG, et son remplacement. Cependant, si l'expression régulière peut correspondre ("matcher") à une chaîne de taille nulle, une boucle infinie se produit lors de la tentative de son remplacement.

Lorsque la configuration de syslog-ng emploie une réécriture avec PCRE et global, un attaquant peut donc journaliser un message illicite, afin de provoquer une boucle infinie.
Bulletin Vigil@nce complet.... (Essai gratuit)

annonce de vulnérabilité informatique CVE-2011-0343

syslog-ng : permissions incorrectes

Synthèse de la vulnérabilité

Sur certains systèmes, syslog-ng peut créer des fichiers de log avec des permissions incorrectes.
Produits concernés : syslog-ng.
Gravité : 2/4.
Conséquences : lecture de données, création/modification de données, effacement de données.
Provenance : shell utilisateur.
Confiance : confirmé par l'éditeur (5/5).
Date création : 17/01/2011.
Références : BID-45988, CVE-2011-0343, VIGILANCE-VUL-10277.

Description de la vulnérabilité

Le type mode_t stocke les permissions d'un fichier (lecture, écriture, exécution, pour le propriétaire, le groupe ou le monde).

Le fichier /usr/include/sys/types.h définit mode_t comme étant généralement un entier sur 32 bits. Cependant, FreeBSD/HP-UX définit mode_t comme un entier de 16 bits.

Le programme syslog-ng ne gère pas le cas 16 bits, et il peut alors définir le mode 0xFFFF (tout est autorisé).

Sur les systèmes définissant mode_t sur 16 bits, syslog-ng peut donc créer des fichiers de log avec des permissions incorrectes (accès en lecture/écriture pour tout le monde).
Bulletin Vigil@nce complet.... (Essai gratuit)

bulletin de vulnérabilité CVE-2008-5110

syslog-ng : sortie du chroot

Synthèse de la vulnérabilité

Un attaquant ayant trouvé une vulnérabilité de syslog-ng, peut accéder aux fichiers situés hors de la prison chroot.
Produits concernés : Fedora, syslog-ng.
Gravité : 1/4.
Conséquences : lecture de données, création/modification de données.
Provenance : shell utilisateur.
Confiance : confirmé par l'éditeur (5/5).
Date création : 18/11/2008.
Références : 505791, CVE-2008-5110, FEDORA-2008-10752, FEDORA-2008-10879, FEDORA-2008-10920, VIGILANCE-VUL-8253.

Description de la vulnérabilité

Le démon de journalisation syslog-ng peut être configuré avec une prison chroot. Un éventuel attaquant est alors restreint aux fichiers situés dans la racine de la prison.

Cependant, cette prison n'est pas initialisée correctement : le répertoire courant n'est pas modifié avant de créer la prison.

Un attaquant dans la prison peut donc accéder aux fichiers situés dans le répertoire courant, au moment du démarrage du démon (par exemple /etc/init.d).
Bulletin Vigil@nce complet.... (Essai gratuit)

avis de vulnérabilité CVE-2007-6437

syslog-ng : déni de service

Synthèse de la vulnérabilité

Un attaquant peut envoyer un message illicite afin de stopper syslog-ng.
Produits concernés : Debian, Fedora, syslog-ng.
Gravité : 2/4.
Conséquences : déni de service du service, camouflage.
Provenance : client intranet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 17/12/2007.
Références : CERTA-2002-AVI-163, CERTA-2007-AVI-572, CVE-2007-6437, DSA-1464-1, FEDORA-2008-0523, FEDORA-2008-0559, VIGILANCE-VUL-7424, ZSA-2007-029.

Description de la vulnérabilité

Le protocole SYSLOG utilise des messages de la forme :
  <priorité>date machine message
La RFC 3164 impose en page 11 que la date soit suivie d'un espace.

Cependant, la fonction log_msg_parse() du fichier logmsg.c de syslog-ng ne détecte pas si l'espace est absent et déréférence un pointeur NULL.

Un attaquant, autorisé à envoyer un message malformé, peut ainsi stopper le service de journalisation syslog-ng.
Bulletin Vigil@nce complet.... (Essai gratuit)

alerte de vulnérabilité CVE-2002-1200

Buffer overflow du démon syslog-ng

Synthèse de la vulnérabilité

En concevant des fichiers de log contenant des macros malicieuses, un attaquant peut exécuter du code avec les droits administrateur.
Produits concernés : Debian, syslog-ng, openSUSE.
Gravité : 2/4.
Conséquences : accès/droits administrateur.
Provenance : shell utilisateur.
Confiance : confirmé par l'éditeur (5/5).
Date création : 11/10/2002.
Dates révisions : 16/10/2002, 30/10/2002, 31/10/2002.
Références : BID-5934, CVE-2002-1200, DSA-175, DSA-175-1, SUSE-SA:2002:039, V6-UNIXSYSLOGNGBOF, VIGILANCE-VUL-3041.

Description de la vulnérabilité

Le démon syslog-ng assure la journalisation des messages de la machine locale ou des machines distantes autorisées.

Pour simplifier la tâche des administrateurs, syslog-ng supporte l'utilisation de macros:
 - dans le nom du fichier de destination:
    destination d_messages_by_host {
      file("/var/log/$HOST/messages");
    };

 - dans le format des données stockées dans ces fichiers:
    destination d_special_messages {
      file("/var/log/messages" template("$ISODATE $HOST $MSG\n"));
    };

Une faille a été découverte dans l'implémentation de la fonction chargée de manipuler les expansions de caractères dans les macros. En effet, lors de l'expansion d'une macro, un buffer est utilisé et une variable nommée "left" contient le nombre de caractères disponibles dans ce buffer. Lorsqu'un caractère constant est ajouté, cette variable n'est pas décrémentée et un débordement du buffer peut se produire.

Un attaquant ayant accès à un système "surveillé" par syslog-ng peut générer un fichier dont le nom ou les données contiendrait des macros malicieuses. Lorsque syslog-ng ouvrira ces fichiers un débordement de mémoire aura lieu et le code de l'attaquant sera exécuté.

L'attaquant peut ainsi faire exécuter du code sur la machine avec des droits syslog-ng.
Bulletin Vigil@nce complet.... (Essai gratuit)
Notre base de données contient d'autres bulletins. Vous pouvez utiliser un essai gratuit pour les consulter.

Consulter les informations sur syslog-ng :