SGDSN AVIS DU CERTA Gestion du document 1 Risque 2

PREMIER MINISTRE
S.G.D.S.N
Paris, le 03 mars 2005
No CERTA-2005-AVI-100
Agence nationale de la sécurité
des systèmes d’information
CERTA
Affaire suivie par :
CERTA
AVIS DU CERTA
Objet : Vulnérabilité dans CA License Software
Conditions d’utilisation de ce document :
Dernière version de ce document :
http://www.certa.ssi.gouv.fr/certa/apropos.html
http://www.certa.ssi.gouv.fr/site/CERTA-2005-AVI-100
Gestion du document
Référence
Titre
Date de la première version
Date de la dernière version
Source(s)
Pièce(s) jointe(s)
CERTA-2005-AVI-100
Multiples vulnérabilités dans le logiciel de license de Computer Associates
03 mars 2005
–
Bulletin de sécurité sur le site de Computer Associates
TAB . 1 – Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
1
Risque
Exécution de code arbitraire.
2
Systèmes affectés
Logiciel de licence de Computer Associates v1.53 jusquà la version v1.61.8, les applications suivantes sont
donc affectées :
–
–
–
–
–
–
–
–
–
–
Advantage Ingres Enterprise Relational Database 2.x ;
BrightStor ARCserve 2000 ;
BrightStor ARCserve Backup 11.x ;
BrightStor ARCserve Backup 11.x (for Windows) ;
BrightStor ARCserve Backup 9.x ;
BrightStor Enterprise Backup 10.x ;
CA Common Services 3.x ;
CA ControlIT 5.x ;
CA eTrust Common Services 1.x ;
CA eTrust InoculateIT 4.x for Windows ;
Secrétariat général de la défense et de la sécurité nationale – ANSSI – COSSI – CERTA
51, bd de La Tour-Maubourg Tél.: 01 71 75 84 50
Web: http://www.certa.ssi.gouv.fr
75700 Paris 07 SP
Fax: 01 71 75 84 70
Mél : [email protected]
–
–
–
–
–
–
–
–
–
–
–
–
–
–
–
–
–
–
–
–
3
CA eTrust Security Command Center 1.x ;
CA Unicenter 5.x ;
CA Unicenter 6.x ;
CA Unicenter Asset Management 4.x ;
CA UniCenter Management Portal 2.x ;
CA UniCenter Management Portal 3.x ;
CA Unicenter Network and Systems Management 3.x ;
CA Unicenter Remote Control 5.x ;
CA Unicenter Remote Control 6.x ;
CA Unicenter ServicePlus Service Desk 6.x ;
CA Unicenter TNG 2.x ;
eTrust Antivirus 6.x ;
eTrust Antivirus 7.x ;
eTrust EZ Antivirus 6.x ;
eTrust EZ Antivirus 7.x ;
eTrust InoculateIT 6.x for Linux ;
eTrust InoculateIT 6.x for Windows ;
eTrust Intrusion Detection 3.x ;
eTrust Secure Content Manager (SCM) ;
EZ Armor 2.x.
Résumé
De multiples vulnérabilités présentes dans un le logiciel de licence de Computer Associates permettent à un
utilisateur mal intentionné d’exécuter à distance du code arbitraire sur le système vulnérable.
4
Description
Le logiciel de licence de Computer Associates est présent dans de nombreux produits de Computer Associates.
Ce logiciel présente plusieurs vulnérabilités de types débordement de la mémoire, découvertes dans le fichier
LIC98RMT.EXE. Toutes les commandes interprétées par le logiciel de licence de Computer Associates, hormis la
commande exit, peuvent mener à l’exploitation de ces vulnérabilités afin d’exécuter à distance du code arbitraire
sur le système vulnérable.
5
Solution
Se référer au bulletin de sécurité de l’éditeur pour l’obtention des correctifs (cf. section Documentation).
6
Documentation
– Bulletin de sécurité de Computer Associates :
http://supportconnectw.ca.com/public/ca_common_docs/security_notice.asp
Gestion détaillée du document
03 mars 2005 version initiale.
2