Risque
- Déni de service à distance ;
- contournement de la politique de sécurité ;
- atteinte à l'intégrité des données ;
- atteinte à la confidentialité des données.
Systèmes affectés
- SAP Internet Graphics Service (IGS) 6.x ;
- SAP Internet Graphics Service (IGS) 7.x.
Résumé
Deux vulnérabilités découvertes dans SAP Internet Graphics Service permettent à un utilisateur distant malintentionné de réaliser de nombreuses actions malveillantes sur le système vulnérable.
Description
Une vulnérabilité dans le traitement de certaines requêtes HTTP permet à un utilisateur distant malintentionné de porter atteinte à l'intégrité des données en supprimant arbitrairement des fichiers présents sur le serveur.
Une seconde vulnérabilité permet à un individu distant malveillant de porter atteinte à la confidentialité des données, de contourner la politique de sécurité ou de réaliser un déni de service en forçant le système à s'arrêter.
Solution
Appliquer les correctifs de sécurité SAP cités dans les notes #959358 et #965201 (cf. section Documentation).
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Note de mise à jour de sécurité SAP #959358 :
http://service.sap.com/sap/support/notes/959358
- Note de mise à jour de sécurité SAP #965201 :
http://service.sap.com/sap/support/notes/965201
- Bulletins de sécurité Cybsec du 12 décembre 2006 :
http://www.cybsec.com/vuln/CYBSEC-Security_Pre-Advisory_SAP_IGS_Remote_Arbitrary_File_Removal.pdf
http://www.cybsec.com/vuln/CYBSEC-Security_Pre-Advisory_SAP_IGS_Undocumented_Features.pdf
