[gull] Setuid a une vulnérabilité

[Marc SCHAEFER]

On Thu, Aug 17, 2006 at 11:43:13PM +0200, Christian ALT wrote:
> concernant une vulnérabilité dans Kerberos 5 a retenu mon attention. Cela
> concerne les package setuid seteuid.

Non, cela concerne les logiciels utilisant les appels systèmes setuid(2)
et seteuid(2) sans vérifier le code de retour (et donc continuer avec
le mauvais EUID p.ex., soit la mauvaise accréditation).

Un tel problème a été trouvé dans certaines routines Kerberos, et
corrigé.  Un problème similaire mais non lié à Kerberos a été trouvé
dans login et passwd, au moins dans les distributions Debian et
dérivées.  Il est donc dangereux de supposer que si Kerberos n'est
pas utilisé, le bug ne peut pas être exploité, du moins théoriquement.

La correction a été apparemment effectuée avant que tout exploit
n'existe. D'après ce que j'ai lu, l'exploitation aurait de toute façon
nécessité des conditions particulières, comme des configurations PAM
restrictives.

Il ne s'agit donc pas d'un problème de sécurité sérieux, mais une mise à
jour de routine est recommandée.

> http://www.tla.ch/TLA/NEWS/2006sec/2006-08-18-kerberos-linux.htm

Votre article ressemble étrangement à:

   http://www.debian.org/security/2006/dsa-1146
   
à la différence que les numéros d'incident des bases CERT et MITRE
n'y figurent plus.

Référence pour le problème non Kerberos:

  http://www.debian.org/security/2006/dsa-1150

(pour les autres distributions, suivre le lien MITRE)

D'où ma suggestion: pourriez-vous indiquer les sources de vos
citations sur votre serveur WWW ?