4 juillet 2006

NuFW 2.0.4 et 1.0.27, correction d’un problème de sécurité mineur

NuFW 2.0.4, "astonished porcupine", a été publié pour fixer un problème de sécurité sur nuauth, le serveur d’authentification.

Une étude interne d’INL a permis de découvrir qu’un utilisateur authentifié pouvait déclencher un arrêt du serveur en envoyant un paquet spécialement formaté (Il est nécessaire d’avoir un client modifié pour réaliser l’attaque).

L’équipe de développement de NuFW recommande à tous les utilisateurs de mettre à jour leur installation de nuauth.

Ce problème touchait aussi la branche 1.0 de NuFW et la version 1.0.27 a été sortie pour corriger le problème.

Le changelog complet de 2.0.4 est le suivant :
 correction d’un DOS par un utilisateur authentifié
 sortie propre quand nuauth est lancé deux fois
 accepte les paquets IPv4 packet sans payload