[Sécurité] Failles de sécurité pour Nagios et Net-SNMP

[surcouf]

1. Nagios :

1.1 Risques : Attaque de type Cross-Site Request Forgery.

1.2 Systèmes affectés : toute version antérieure à la 3.0.5

1.3 Résumé
Un défaut de contrôle de validité des requêtes entrainant une
vulnérabilité de type CSRF (Cross Site Request Forgery) a été corrigé.

1.4 Description
Un attaquant peut conduire un utilisateur à effectuer des opérations
Nagios malgré lui en l'incitant à consulter du code HTML spécifiquement
écrit. Pour cela, l'utilisateur doit être connecté à l'interface Nagios
lors de la consultation du code malveillant.

1.5 Solution
Se référer au bulletin de sécurité de l'éditeur (Debian/RedHat) ou
mettre à jour Nagios soi-même :
http://www.nagios.org/development/history/nagios-3x.php

1.6 Références
* Avis du CERTA:
http://www.certa.ssi.gouv.fr/site/CERTA-2008-AVI-545/index.html


2. Net-SNMP :

2.1 Risques : Déni de service à distance.

2.2 Systèmes affectés
* Net-snmp 5.2.x : versions antérieures à 5.2.5.1 ;
* Net-snmp 5.3.x : versions antérieures à 5.3.2.3 ;
* Net-snmp 5.4.x : versions antérieures à 5.4.2.1.

2.3 Résumé
Une vulnérabilité dans net-snmp permet à une personne malintentionnée
d'effectuer un déni de service à distance.

2.4 Description
Une vulnérabilité de type débordement d'entier a été identifiée dans la
fonction netsnmp_create_subtree_cache() du fichier agent/snmpi_agent.c
de net-snmp. Son exploitation permet à une personne malintentionnée
d'effectuer un déni de service en envoyant une requête GETBULK
spécialement conçue à un agent vulnérable.

2.5 Solution
Se référer au bulletin de sécurité de l'éditeur (Debian/RedHat) ou
mettre à jour Net-SNMP soi-même.

2.6 Références
* Rapport de bogue 2205039 de net-snmp :
http://sourceforge.net/tracker/index.php ?func=detail&aid=2205039&group_id=12694&atid=112694
* Bulletin de sécurité RHSA-2008-0971 du 03 novembre 2008 :
https://rhn.redhat.com/errata/RHSA-2008-0971.html
* Référence CVE CVE-2008-4309 :
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-4309
* Avis du CERTA:
http://www.certa.ssi.gouv.fr/site/CERTA-2008-AVI-540/index.html