Rechercher
Contactez-nous Suivez-nous sur Twitter En francais English Language
 

De la Théorie à la pratique











Abonnez-vous gratuitement à notre NEWSLETTER

Newsletter FR

Newsletter EN

Vulnérabilités

Se désabonner

Vigil@nce : libpam, gestion incorrecte des logins UTF-8

mars 2009 par Vigil@nce

La bibliothèque libpam ne gère pas correctement les caractères Unicode situés dans les noms d’utilisateurs.

- Gravité : 1/4
- Conséquences : accès/droits utilisateur
- Provenance : compte utilisateur
- Moyen d’attaque : aucun démonstrateur, aucune attaque
- Compétence de l’attaquant : expert (4/4)
- Confiance : confirmé par l’éditeur (5/5)
- Diffusion de la configuration vulnérable : élevée (3/3)
- Date création : 05/03/2009

PRODUITS CONCERNÉS

- Unix - plateforme

DESCRIPTION DE LA VULNÉRABILITÉ

La bibliothèque libpam gère les modules d’authentification PAM.

Les fichiers de configuration PAM peuvent contenir des noms d’utilisateurs, qui ont été définis par l’administrateur.

La fonction _pam_StrTok() du fichier pam_misc.c est utilisée pour lire ces noms d’utilisateurs. Cependant, cette fonction ne gère pas correctement les caractères ayant une valeur supérieure à 127, utilisés par UTF-8. Le nom d’utilisateur réel (par exemple : "abc") est alors différent du nom configuré (par exemple : "abc[UTF-8]def").

Un attaquant peut donc contourner des mécanismes d’authentification en employant le nom d’utilisateur différent.

CARACTÉRISTIQUES

- Références : VIGILANCE-VUL-8511
- Url : http://vigilance.fr/vulnerabilite/libpam-gestion-incorrecte-des-logins-UTF-8-8511




Voir les articles précédents

    

Voir les articles suivants