S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 11 juillet 2002
N° CERTA-2002-AVI-146
Affaire suivie par: CERT-FR
le 11 juillet 2002

Avis du CERT-FR

Objet: Vulnérabilités sur iPlanet Webserver

Gestion du document

Référence CERTA-2002-AVI-146
Titre Vulnérabilités sur iPlanet Webserver
Date de la première version 11 juillet 2002
Date de la dernière version 11 juillet 2002
Source(s) Avis de sécurité NGSSoftware
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Divulgation de données ;
  • exécution de code arbitraire.

Systèmes affectés

  • iPlanet WebServer 6.0 SP2 ;
  • iPlanet WebServer 4.1 SP9 ;
  • Netscape Enterprise Server 3.6.

Résumé

Deux vulnérabilités présentes sur iPlanet Webserver, dont une sur Netscape Enterprise, permettent à un utilisateur mal intentionné d'accéder à des données protégées du système ou d'exécuter du code arbitraire avec les privilèges de l'utilisateur exécutant l'application.

Description

Une vulnérabilité sur la fonction de recherche iPlanet Search (inactive par défaut) permet à un utilisateur mal intentionné d'exécuter du code arbitraire avec les privilèges de l'utilisateur propriétaire du processus. Cette vulnérabilité, qui ne concerne pas Netscape Entreprise Server, est exploitable à distance par l'envoi de données trop importante à la variable NS-rel-doc-name.

Une seconde vulnérabilité sur la variable NS-query-pat permet à un utilisateur mal intentionné, par le biais de requêtes spécifiques, d'accéder à des informations protégées du système.

Contournement provisoire

Désactiver la fonction de recherche iPlanet Search.

Solution

Installer le correctif correspondant à votre serveur web (cf section documentation).

Documentation

Gestion détaillée du document

    le 11 juillet 2002
    version initiale.