CERTFR-2019-ALE-001
Vulnerability from certfr_alerte - Published: - Updated:
Le 22 janvier 2019, Debian a publié un avis de sécurité indiquant que leur gestionnaire de paquets était vulnérable à une injection de code.
Par défaut, les mises à jour sont récupérées en HTTP. Toutefois des vérifications sont effectuées en local afin de vérifier l'intégrité des fichiers récupérés.
Un attaquant en position d'intercepteur actif (Man In The Middle) peut injecter un paquet malveillant qui sera considéré comme valide. Cette vulnérabilité n'est présente que dans le cadre de l'utilisation de redirections par APT.
Le logiciel APT s'exécute avec un niveau de privilège élevé, une attaque réussie garanti donc à l'attaquant une compromission totale du système.
Il s'agit donc d'une vulnérabilité sérieuse, d'autant plus qu'elle impacte directement le mécanisme de mise à jour. Il est nécessaire d'appliquer le correctif tout en minimisant les risques d'exploitation.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Contournement provisoire
Uniquement dans le cadre de cette mise à jour, Debian recommande de désactiver les redirections par les commandes suivantes :
[pastacode lang="bash" manual="apt%20-o%20Acquire%3A%3Ahttp%3A%3AAllowRedirect%3Dfalse%20update%3B%0Aapt%20-o%20Acquire%3A%3Ahttp%3A%3AAllowRedirect%3Dfalse%20upgrade" message="" highlight="" provider="manual"/]
Toutefois, cela peut ne pas fonctionner lorsque l'on est placé derrière un proxy et que l'on cherche à atteindre le miroir security.debian.org.
Dans ce cas, il est possible d'utiliser la source suivante : http://security-cdn.debian.org/debian-security/
Si la mise à jour d'APT sans la désactivation des redirections est impossible, il est alors recommandé de télécharger manuellement le paquet. Il convient ensuite d'effectuer la vérification d'intégrité avant de l'installer.
None| Title | Publication Time | Tags | |
|---|---|---|---|
{
"$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
"affected_systems": [
{
"description": "APT versions ant\u00e9rieures \u00e0 1.4.9 sur Debian",
"product": {
"name": "N/A",
"vendor": {
"name": "Debian",
"scada": false
}
}
},
{
"description": "APT sans le dernier correctif de s\u00e9curit\u00e9 sur Ubuntu 12.04 ESM, 14.04 LTS, 16.04 LTS, 18.04 LTS et 18.10",
"product": {
"name": "Ubuntu",
"vendor": {
"name": "Ubuntu",
"scada": false
}
}
},
{
"description": "Les distributions Linux utilisant APT comme gestionnaire de paquets",
"product": {
"name": "N/A",
"vendor": {
"name": "Debian",
"scada": false
}
}
}
],
"affected_systems_content": null,
"closed_at": "2019-02-27",
"content": "## Solution\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l\u0027\u00e9diteur pour l\u0027obtention des\ncorrectifs (cf. section Documentation).\n\n## Contournement provisoire\n\nUniquement dans le cadre de cette mise \u00e0 jour, Debian recommande de\nd\u00e9sactiver les redirections par les commandes suivantes :\n\n\\[pastacode lang=\"bash\"\nmanual=\"apt%20-o%20Acquire%3A%3Ahttp%3A%3AAllowRedirect%3Dfalse%20update%3B%0Aapt%20-o%20Acquire%3A%3Ahttp%3A%3AAllowRedirect%3Dfalse%20upgrade\"\nmessage=\"\" highlight=\"\" provider=\"manual\"/\\]\n\nToutefois, cela peut ne pas fonctionner lorsque l\u0027on est plac\u00e9 derri\u00e8re\nun proxy et que l\u0027on cherche \u00e0 atteindre le miroir\u00a0security.debian.org.\n\nDans ce cas, il est possible d\u0027utiliser la source suivante\n:\u00a0\u003chttp://security-cdn.debian.org/debian-security/\u003e\n\nSi la mise \u00e0 jour d\u0027APT sans la d\u00e9sactivation des redirections est\nimpossible, il est alors recommand\u00e9 de t\u00e9l\u00e9charger manuellement le\npaquet. Il convient ensuite d\u0027effectuer la v\u00e9rification d\u0027int\u00e9grit\u00e9\navant de l\u0027installer.\n",
"cves": [
{
"name": "CVE-2019-3462",
"url": "https://www.cve.org/CVERecord?id=CVE-2019-3462"
}
],
"links": [
{
"title": "Avis du CERT-FR CERTFR-2019-AVI-030 du 22 janvier 2019",
"url": "https://www.cert.ssi.gouv.fr/avis/CERTFR-2019-AVI-030/"
},
{
"title": "Bulletin de s\u00e9curit\u00e9 Ubuntu usn-3863-1 du 22 janvier 2019",
"url": "https://usn.ubuntu.com/3863-1/"
},
{
"title": "Bulletin de s\u00e9curit\u00e9 Ubuntu usn-3863-2 du 22 janvier 2019",
"url": "https://usn.ubuntu.com/3863-2/"
}
],
"reference": "CERTFR-2019-ALE-001",
"revisions": [
{
"description": "Version initiale",
"revision_date": "2019-01-22T00:00:00.000000"
},
{
"description": "Cl\u00f4ture de l\u0027alerte.",
"revision_date": "2019-02-27T00:00:00.000000"
}
],
"risks": [
{
"description": "Ex\u00e9cution de code arbitraire \u00e0 distance"
}
],
"summary": "Le 22 janvier 2019, Debian a publi\u00e9 un avis de s\u00e9curit\u00e9 indiquant que\nleur gestionnaire de paquets \u00e9tait vuln\u00e9rable \u00e0 une injection de code.\n\nPar d\u00e9faut, les mises \u00e0 jour sont r\u00e9cup\u00e9r\u00e9es en HTTP. Toutefois des\nv\u00e9rifications sont effectu\u00e9es en local afin de v\u00e9rifier l\u0027int\u00e9grit\u00e9 des\nfichiers r\u00e9cup\u00e9r\u00e9s.\n\nUn attaquant en position d\u0027intercepteur actif (*Man In The Middle*) peut\ninjecter un paquet malveillant qui sera consid\u00e9r\u00e9 comme valide. Cette\nvuln\u00e9rabilit\u00e9 n\u0027est pr\u00e9sente que dans le cadre de l\u0027utilisation de\nredirections par APT.\n\nLe logiciel APT s\u0027ex\u00e9cute avec un niveau de privil\u00e8ge \u00e9lev\u00e9, une attaque\nr\u00e9ussie garanti donc \u00e0 l\u0027attaquant une compromission totale du syst\u00e8me.\n\nIl s\u0027agit donc d\u0027une vuln\u00e9rabilit\u00e9 s\u00e9rieuse, d\u0027autant plus qu\u0027elle\nimpacte directement le m\u00e9canisme de mise \u00e0 jour. Il est n\u00e9cessaire\nd\u0027appliquer le correctif tout en minimisant les risques d\u0027exploitation.\n\n\u00a0\n",
"title": "Vuln\u00e9rabilit\u00e9 dans le gestionnaire de paquets APT",
"vendor_advisories": [
{
"published_at": null,
"title": "Bulletin de s\u00e9curit\u00e9 Debian du 22 janvier 2019",
"url": "https://lists.debian.org/debian-security-announce/2019/msg00010.html"
}
]
}
Sightings
| Author | Source | Type | Date |
|---|
Nomenclature
- Seen: The vulnerability was mentioned, discussed, or observed by the user.
- Confirmed: The vulnerability has been validated from an analyst's perspective.
- Published Proof of Concept: A public proof of concept is available for this vulnerability.
- Exploited: The vulnerability was observed as exploited by the user who reported the sighting.
- Patched: The vulnerability was observed as successfully patched by the user who reported the sighting.
- Not exploited: The vulnerability was not observed as exploited by the user who reported the sighting.
- Not confirmed: The user expressed doubt about the validity of the vulnerability.
- Not patched: The vulnerability was not observed as successfully patched by the user who reported the sighting.