martes, 25 de enero de 2005

Múltiples vulnerabilidades en Ethereal

Se han descubierto una serie de vulnerabilidades en Ethereal que
podrían ser explotadas por usuarios maliciosos para provocar
denegaciones de servicio o, potencialmente, comprometer un sistema
ejecutando dicho software.

Ethereal es un popular analizador de tráfico de red que soporta gran
cantidad de protocolos y es de muy fácil manejo, además de estar
presente en diversas plataformas.

1. Un error sin especificar en el analizador de COPS (Common Open
Policy Service) puede ser explotado para provocar un bucle infinito
en el programa y consumir así grandes cantidades de recursos de CPU
(y con ello, una denegación de servicio). Este problema afectaría a
las versiones de la 0.10.6 a la 0.10.8.

2. Otro error sin especificar en el analizador de DLSw (Data-Link
Switching) puede ser explotado para tirar el proceso del programa. Este
error afecta a las versiones de la 0.10.6 a la 0.10.8.

3. De nuevo un error sin especificar, localizado en el analizador de
DNP (Distributed Network Protocol) permite corromper partes de la
memoria. Esta vulnerabilidad afecta a las versiones de la 0.10.5 a
la 0.10.8.

4. Otro error más sin especificar, esta vez en el analizador de
Gnutella puede ser explotado también para tirar el proceso. Las
versiones de la 0.10.6 a la 0.10.8 se ven afectadas por este error.

5. Un error sin especificar en el analizador de MMSE (Multimedia
Messaging Service Encapsulation) puede ser explotado para liberar
memoria estática. Este problema afectaría a las versiones de la 0.10.4
a la 0.10.8.

6. Finalmente, un error con el tratamiento de tamaños de variables en
el analizador de X11 puede ser explotado para provocar un desbordamiento
de búfer y con ello, potencialmente, lograr la ejecución de código
arbitrario. Esta vulnerabilidad afecta a las versiones de la 0.8.10
a la 0.10.8.

Se recomienda actualizar a la versión 0.10.9, disponible en la
siguiente dirección:
http://www.ethereal.com/download.html


Julio Canto
jcanto@hispasec.com


Más información:

Ethereal 0.10.9 released
http://www.ethereal.com/news/item_20050120_01.html