Boletines de Vulnerabilidades

int(179)

Ejecución de código arbitrario en CVS Server
Clasificación de la vulnerabilidad
Propiedad	Valor
Nivel de Confianza	Oficial
Impacto	Compromiso Root
Dificultad	Avanzado
Requerimientos del atacante	Acceso remoto sin cuenta a un servicio estandar
Información sobre el sistema
Propiedad	Valor
Fabricante afectado	GNU/Linux
Software afectado	CVS <= 1.11.4
Descripción
Existe una vulnerabilidad en CVS Server que podria permitir que un atacante, enviando una petición de directorio manipulada, provocase una fuga de información en el servidor, una denegación de servicio o, incluso, pudiese ejecutar código arbitrario. El proceso servidor CVS se inicia normalmente por el "daemon Internet services" (inetd) y se ejecuta con privilegios de root. Cualquier código insertado por un atacante será ejecutado, por lo tanto, con privilegios de root.
Solución
Actualización de software CVS Versión 1.11.5 http://ccvs.cvshome.org/servlets/ProjectDownloadList
Identificadores estándar
Propiedad	Valor
CVE	CAN-2003-0015
BID
Recursos adicionales
Security:CVS remote vulnerability http://security.e-matters.de/advisories/012003.html CERT CC:Concurrent Versions System (CVS) server improperly deallocates memory http://www.kb.cert.org/vuls/id/650937#systems