{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [],
  "affected_systems_content": "\u003cp\u003eOpenBSD versions 2.9 et 3.0.\u003c/p\u003e",
  "content": "## Description\n\nCertains caract\u00e8res de contr\u00f4le peuvent \u00eatre utilis\u00e9s \u00e0 l\u0027int\u00e9rieur d\u0027un\nm\u00e9l pour sp\u00e9cifier une commande \u00e0 ex\u00e9cuter via l\u0027interpr\u00e9teur de\ncommandes.\n\nLa commande /usr/bin/mail interpr\u00e8te ces caract\u00e8res m\u00eame si elle n\u0027est\npas ex\u00e9cut\u00e9e en mode interactif. Un utilisateur mal intentionn\u00e9 peut\nainsi forcer l\u0027ex\u00e9cution de commandes avec les privil\u00e8ges de\nl\u0027administrateur (root) lors du lancement des scripts programm\u00e9s (cron)\ninstall\u00e9s par d\u00e9faut et utilisant la commande /usr/bin/mail.\n\n## Solution\n\nAppliquer le correctif mentionn\u00e9 dans les avis de s\u00e9curit\u00e9 d\u0027OpenBSD\n(cf. section Documentation).\n",
  "cves": [],
  "links": [
    {
      "title": "Avis de s\u00e9curit\u00e9 OpenBSD 3.0 :",
      "url": "http://www.openbsd.org/errata.html#mail"
    },
    {
      "title": "Avis de s\u00e9curit\u00e9 OpenBSD 2.9 :",
      "url": "http://www.openbsd.org/errata29.html#mail"
    }
  ],
  "reference": "CERTA-2002-AVI-078",
  "revisions": [
    {
      "description": "version initiale.",
      "revision_date": "2002-04-16T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "\u00c9l\u00e9vation de privil\u00e8ges"
    }
  ],
  "summary": "Une vuln\u00e9rabilit\u00e9 pr\u00e9sente dans la commande /usr/bin/mail permet \u00e0 un\nutilisateur mal intentionn\u00e9 d\u0027obtenir les privil\u00e8ges de l\u0027administrateur\n(root).\n",
  "title": "Vuln\u00e9rabilit\u00e9 de mail sous OpenBSD",
  "vendor_advisories": [
    {
      "published_at": null,
      "title": "Avis de s\u00e9curit\u00e9 #18 (OpenBSD 3.0) et #23 (OpenBSD 2.9)",
      "url": null
    }
  ]
}