Avis du CERT-FR

Objet: Vulnérabilité du client FTP sous HP-UX

Gestion du document

Référence	CERTA-2004-AVI-192
Titre	Vulnérabilité du client FTP sous HP-UX
Date de la première version	11 juin 2004
Date de la dernière version	11 juin 2004
Source(s)	Bulletin HPSBUX1050 de HP
Pièce(s) jointe(s)	Aucune(s)

Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Exécution de code arbitraire à distance.

Systèmes affectés

HP-UX B.11.00, B.11.11, B.11.22.

Description

Le client FTP ne gère pas correctement le nom des fichiers commençant par le caractère "|".

Au moyen d'un site FTP astucieusement construit, il est possible de forcer l'exécution de commandes arbitraires sur un poste client utilisant une version vulnérable de la commande FTP.

Solution

Se référer au bulletin de sécurité de l'éditeur (cf. section Documentation) pour l'obtention des correctifs.

Documentation

Bulletin HPSBUX1050 "FTP remote unauthorized access" de HP :
```
http://itrc.hp.com
```
Note #VU258721 du CERT/CC :
```
http://www.kb.cert.org/vuls/id/258721
```

Gestion détaillée du document

le 11 juin 2004: version initiale.