Veille Technologique Sécurité - cert devoteam

Avril 2001
ALERTES DETAILLEES
AVIS OFFICIELS
Les tables suivantes présentent une synthèse des principales alertes de sécurité émises par un organisme
fiable, par l’éditeur du produit ou par le constructeur de l’équipement. Ces informations peuvent être
considérées comme fiables et authentifiées. En conséquence, les correctifs proposés, s'il y en a, doivent
immédiatement être appliqués.
AKOPIA
Existence d'un compte d'accès libre sur 'Interchange'
L'un des comptes d'accès livrés avec les bases de démonstration du logiciel de commerce électronique AKOPIA
Interchange n'est pas protégé par un mot de passe.
Forte 26/03 Toute plateforme utilisant AKOPIA Interchange versions4.5.3 à 4.6.3
Correctif existant Bases de démo. Interchange Compte d'accès non protégé
Bugtraq
http://www.securityfocus.com/archive/1/170954
ALCATEL
Multiples vulnerabilités dans les modems ADSL Alcatel
Le CERT publie, sous la référence CA-2001-08, une alerte faisant état de multiples vulnérabilités dans les modems
ADSL Alcatel.
Critique 10/04 Alcatel Speed Touch Home ADSL Modem, Alcatel 1000 ADSL Network Termination Device
Aucun correctif Porte dérobée dans les modems Accès à l'interface
Transfert
http://www.transfert.net/fr/cyber_societe/article.cfm?idx_rub=87&idx_art=5090
CA-2001-08 http://www.cert.org/advisories/CA-2001-08.html
Vnunet
http://www.vnunet.fr/actu/article.htm?numero=6197&date=2000-11-06
FA-2001-08 http://www2.fedcirc.gov/advisories/FA-2001-08.html
BEA
Exposition des scripts '.jsp' sous 'WebLogic'
En soumettant une url particulière à un serveur 'WebLogic', il est possible d'afficher la source des scripts JSP.
Critique 28/03 WebLogic 5.1.0 SP 6 et Tomcat 4.0-b1 (version courante: 5.1SP8)
Correctif existant Caractères unicode Non rejet d'URL contenant certains caractères unicode
Bugtraq
http://www.securityfocus.com/archive/1/172621
BEA
http://commerce.bea.com/downloads/weblogic_server.jsp#wls
Vulnérabilité unicode dans 'Weblogic'
Une vulnérabilité dans 'Weblogic Server 6.0' peut conduire un utilisateur à visualiser le contenu des répertoires.
Forte 26/03 Bea Weblogic Server 6.0 pour Windows NT/2000 (version courante: 6.0SP1)
Correctif existant Caractères unicode Non rejet d'URL contenant certains caractères unicode
Bugtraq
http://www.securityfocus.com/archive/1/171401
BEA
http://commerce.bea.com/downloads/weblogic_server.jsp#wls
CISCO
Vulnérabilité des concentrateurs 'Cisco VPN 3000'
Il est possible de redémarrer un concentrateur Cisco VPN de la série 3000 en envoyant un flot de données au port
SSL ou telnet.
Forte 28/03 Cisco VPN série 3000 avec firmware inférieur à la version 3.0.00 (modèles 3005, 3015, 3030, 3060 et 3080)
Correctif existant Connexions SSL ou telnet Non fermeture des connexions
CSCds90807 http://www.cisco.com/warp/public/707/vpn3k-telnet-vuln-pub.shtml
Déni de service sur les concentrateurs 'VPN 3000'
Il est possible de provoquer un déni de service distant, depuis un même segment de réseau local, sur les
concentrateurs CISCO 'VPN 3000'.
Forte 12/04 Cisco VPN série 3000 avec firmware inférieur à 2.5.2 (F) (modèles 3005, 3015, 3030, 3060 et 3080)
Correctif existant Option des paquets IP Mauvaise gestion des paquets malformés
CSCds92460 http://www.cisco.com/warp/public/707/vpn3k-ipoptions-vuln-pub.shtml
Vulnérabilité dans les commutateurs 'CSS' (Arrowpoint)
Un utilisateur non privilégié peut acquérir des droits plus élevés sur les commutateurs 'Cisco Content Services' aussi
appelés 'Arrowpoint'.
Forte 04/04 Cisco CSS 11050, 11150 et 11800 utilisant Cisco WebNS (Firmware versions inférieures à 4.01B19s).
Correctif existant Mode 'debug' Possibilité de passer en mode superviseur
CSCdt32570 http://www.cisco.com/warp/public/707/arrowpoint-useraccnt-debug-pub.shtml
Veille Technologique Sécurité N°33 Page 24/59
© APOGEE Communications - Tous droits réservés Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE