int(131)

Vulnerability Bulletins


Ejecución de código arbitrario en el editor VIM

Vulnerability classification

Property Value
Confidence level Oficial
Impact Compromiso Root
Dificulty Avanzado
Required attacker level Acceso remoto con cuenta

System information

Property Value
Affected manufacturer GNU/Linux
Affected software VIM 5.0 - 5.8, 6.0, 6.1

Description

Exite una vulnerabilidad en VIM, un editor de texto GNU que está disponible para sistemas Unix, Linux y Microsoft.

En concreto la vulnerabilidad parte de la ejecución de lo que se denominan "Modelines", instrucciones situadas al principio y fin de los archivos que sirven para facilitar al usuario el manejo del editor.
Debido a un problema en la dirección de entrada de estas instrucciones, puede ser posible ejecutar código arbritrario en el sistema.

Solution

Es posible deshabilitar las modelines cambiando la configuración del sistema a "modelines=0".

Para la actualización visite la página oficial de su sistema operativo, o bien baje las fuentes del software y compílelo usted mismo.


Actualización de software

VIM
VIM 6.2
http://www.vim.org/download.php

Standar resources

Property Value
CVE CAN-2002-1377
BID

Other resources

Bugtraq ID: 6384
http://online.securityfocus.com/bid/6384

Internet Securiry Systems
http://www.iss.net/security_center/static/10835.php

Version history

Version Comments Date
1.0 Aviso emitido 2003-12-16
Ministerio de Defensa
CNI
CCN
CCN-CERT