[ACTU] Menace sur ZoneAlarm

Une erreur binaire sur le système de traitement SMTP de ZoneAlarm 4.x et Zone Labs Integrity 4.x crée une vulnérabilité sur le système de protection avec un risque de surcharge mémoire.

La faille porte exclusivement sur le trafic serveur SMTP sur port 25/TCP, et pourrait permettre à un programme malicieux d'entraîner un 'buffer overflow', mais aussi de modifier les privilèges système de l'utilisateur si l'administrateur l'a autorisé à accéder au réseau.

Pour contourner le risque, ZoneAlarm, ZoneAlarm Plus et ZoneAlarm Pro doivent mis à jours en version 4.5.538.001, et Zone Labs Integrity en version 4.0.146.046 ou 4.5.085 selon la version active, 4.0 ou 4.5.

A télécharger sur le site Web Zone Labs Security Services

Zone Labs, éditeur de ZoneAlarm, l'un des pare-feu les plus utilisés du monde Windows (notamment dans sa version gratuite), vient de reconnaître l'existence d'une faille dans la plupart de ses solutions ZoneAlarm (ZoneAlarm, ZoneAlarm Plus et ZoneAlarm Pro) et Integrity en version 4.0 (destiné aux entreprises). Modérément dangereuse selon Zone Labs, la faille est jugée critique par le site K-Otik, version française du service de sécurité BugTraq. Découverte par eEye Digital Security, la vulnérabilité "pourrait être exploitée par un attaquant distant afin de compromettre une machine vulnérable", selon K-Otik. "Ce problème résulte d'une erreur présente au niveau du traitement SMTP (port 25/TCP), l'exploitation réussie pourrait provoquer le crash du firewall ou encore l'exécution de commandes arbitraires avec les privilèges SYSTEM".

Autrement dit, les internautes qui se croient parfaitement protégés des intrusions et autres prises de contrôle de leur machine grâce à ZoneAlarm ne le sont pas. Du moins tant qu'ils n'auront pas effectué la mise à jour de leur logiciel : Zone Labs conseille de passer à la version 4.5.538.001 de la famille ZoneAlarm. Une autre solution consiste à réinstaller une version antérieure à la 4.0 pour ceux qui l'aurait conservée. Car, apparemment, Zone Labs ne propose plus ces produits. Par les temps qui courent, la mise à jour s'impose.

Source: www.vnunet.fr

Date de Publication : 2004-02-19 © K-OTik.COM - Voir Notice Légale
Titre: ZoneAlarm 4.x SMTP Processing Buffer Overflow Vulnerability
K-Otik ID : 0519
Risque : Critique
Exploitable à distance : Oui
Exploitable en local : Oui

* Description Technique - Exploit *

Une vulnérabilité critique a été identifiée dans plusieurs produits ZoneAlarm, elle pourrait être exploité par un attaquant distant afin de compromettre une machine vulnérable. Ce problème résulte d'une erreur présente au niveau du traitement SMTP (port 25/TCP), l'exploitation réussie pourrait provoquer le crash du firewall ou encore l'exécution de commandes arbitraires avec les privilèges SYSTEM.


* Versions Vulnérables *

ZoneAlarm Pro 4.x
Zone Labs Integrity 4.x
ZoneAlarm 4.x
ZoneAlarm Plus 4.x


* Solution *

ZoneAlarm (Free, Plus, Pro) version 4.5.538.001
Integrity client version 4.0.146.046
Integrity client version 4.5.085


* Références *

http://download.zonelabs.com/bin/fr...ityAlert/8.html
https://secunia.com/advisories/10921/


* Crédit *

Vulnérabilité découverte par eEye Digital Security (Février 2004)

Source: www.k-otik.net

... Cette faille ne concerne que les versions 4.0 et plus du logiciel.
ZoneLabs recommande aux utilisateurs de ces versions d'installer la dernière version de ZoneAlarm en date (4.5.538.001)

quelqu'un a un lien direct pour la màj?

Emmanuel Jud, administrateur du site dédié à la sécurité Secuser.com, nous signale quelques imprécisions dans notre article consacré à la faille de sécurité découverte dans le logiciel pare-feu ZoneAlarm (voir édition du 20 février 2004). Dans cet article, nous évoquions une faille découverte par la société eEye Digital Security qui permettrait à un intrus de prendre à distance le contrôle d'une machine. Une faille jugée "critique" par le site K-Otik et "modérée" par ZoneLabs, l'éditeur du pare-feu. La mise à jour n'est plus indispensable mais simplement recommandée, d'autant qu'elle est gratuite.

Un danger pour les serveurs SMTP

Selon Emmanuel Jud, "l'exploitation de la faille nécessite en effet un flux SMTP sortant de la machine cible". Autrement dit, seul un serveur de messagerie SMTP, peu courant sur les machines des particuliers, permettrait d'exploiter la faille de ZoneAlarm. Sauf si, victime d'un ver ou d'un cheval de Troie aux fonctionnalités de spam, la machine de l'utilisateur est exploitée par défaut comme serveur SMTP. Mais si le ver s'exécute, "cela signifie que l'utilisateur lui a déjà donné sa bénédiction ou a été trompé dans ce but, donc une exploitation de la faille de ZoneAlarm n'apporterait pas grand-chose en plus. C'est ce qui explique sans doute le niveau de danger 'modéré' attribué par ZoneLabs", estime en toute logique Emmanuel Jud.

Par ailleurs, contrairement à ce que nous écrivions, il n'est pas recommandé de rester sous une des versions antérieures à la 4 tout simplement parce que celles-ci sont également boguées. Enfin, le site K-Otik auquel nous faisions allusion n'est pas la version française du service BugTraq. Seul un membre de l'équipe de K-Otik est bien modérateur de la liste Bugtraq-French de Symantec. Voilà qui devait être précisé.

Source: www.vnunet.fr