Version PDF - Certa
Transcription
Version PDF - Certa
PREMIER MINISTRE S.G.D.S.N Paris, le 05 octobre 2006 No CERTA-2006-AVI-427 Agence nationale de la sécurité des systèmes d’information CERTA Affaire suivie par : CERTA AVIS DU CERTA Objet : Vulnérabilité de certains produits McAfee Conditions d’utilisation de ce document : Dernière version de ce document : http://www.certa.ssi.gouv.fr/certa/apropos.html http://www.certa.ssi.gouv.fr/site/CERTA-2006-AVI-427 Gestion du document Référence Titre Date de la première version Date de la dernière version Source(s) Pièce(s) jointe(s) CERTA-2006-AVI-427 Vulnérabilité de certains produits McAfee 05 octobre 2006 – Bulletin de mise à jour McAfee Aucune TAB . 1 – Gestion du document Une gestion de version détaillée se trouve à la fin de ce document. 1 Risque Exécution de code arbitraire à distance. 2 Systèmes affectés – McAfee ePolicy Orchestrator 3.5.0 Patch 5 ainsi que les versions antérieures ; – McAfee ProtectionPilot 1.1.1 Patch 2 ainsi que les versions antérieures. 3 Description Une vulnérabilité a été identifiée dans les produits McAfee ePolicy Orchestrator et ProtectionPilot. Un débordement de mémoire serait possible au cours de la phase de pré-authentification par le serveur NAISERV.exe. Il ne manipulerait pas correctement des entêtes HTTP de taille excessivement longue. Une personne malveillante pourrait donc construire un paquet particulier, et l’envoyer vers un système vulnérable, afin d’exécuter sur celui-ci des commandes arbitraires. Secrétariat général de la défense et de la sécurité nationale – ANSSI – COSSI – CERTA 51, bd de La Tour-Maubourg Tél.: 01 71 75 84 50 Web: http://www.certa.ssi.gouv.fr 75700 Paris 07 SP Fax: 01 71 75 84 70 Mél : [email protected] 4 Solution Se référer au bulletin de sécurité de l’éditeur McAfee pour l’obtention des correctifs (cf. section Documentation). 5 Documentation – Site de mises à jour McAfee ProtectionPilot : http://www.mcafee.com/apps/downloads/security_updates/hotfixes.asp?region=fr&segment=smb http://www.mcafee.com/apps/downloads/security_updates/hotfixes.asp?region=fr&segment=enterprise Gestion détaillée du document 05 octobre 2006 version initiale. 2