S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 07 octobre 2005
N° CERTA-2005-ALE-013-001
Affaire suivie par: CERT-FR
le 07 octobre 2005

Bulletin d'alerte du CERT-FR

Objet: Vulnérabilité dans Citrix Metaframe Presentation

Gestion du document

Référence CERTA-2005-ALE-013-001
Titre Vulnérabilité dans Citrix Metaframe Presentation
Date de la première version 07 octobre 2005
Date de la dernière version 06 juin 2013
Source(s) Bulletin de sécurité Citrix #CTX107705 du 27 septembre 2005
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Contournement de la politique de sécurité.

Systèmes affectés

  • Citrix Metaframe Presentation Server 3.x ;
  • Citrix Présentation Server 4.x.

Résumé

Une vulnérabilité dans certains produits Citrix permet à un utilisateur mal intentionné de contourner la politique de sécurité.

Description

Une vulnérabilité découverte dans la politique de filtrage basée sur la variable client name permet à un utilisateur distant mal intentionné de contourner la politique de sécurité. Une personne malveillante peut s'authentifier auprès du serveur après avoir habilement modifié le fichier launch.ica.

Contournement provisoire

Changer la politique de sécurité de l'application Citrix de manière à ce que l'authentification ne se fasse pas par le biais de la variable client name.

Solution

Ce produit n'est plus maintenu par l'éditeur. Il convient de migrer vers une version soutenue du produit. Se référer au bulletin de sécurité de l'éditeur pour plus d'informations (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 07 octobre 2005
    version initiale.
    le 06 juin 2013
    ajout CVE et fermeture de l'alerte.