Risques
- Déni de service à distance
- Exécution de code arbitraire à distance
Systèmes affectés
Symantec Web Security 6.0 pour les versions antérieures à 3.0.1.85.
Description
Le produit Symantec Web Security propose des mesures de sécurité au niveau d'une passerelle Web, comme filtrer du contenu ou faire une analyse antivirale. Deux vulnérabilités ont été identifiées dans celui-ci :
- la console de gestion ne vérifierait pas correctement ses propres balises HTML dans les messages d'erreur retournés au client. Une personne malveillante pourrait effectuer une attaque de type cross-site scripting afin d'exécuter des scripts dans les pages HTML interprêtées par le navigateur de la victime ;
- une personne malveillante distante pourrait utiliser l'interface d'enregistrement (licence) pour envoyer un gros fichier au système Web Security vulnérable. Cela ne nécessite pas d'authentification préalable, et peut provoquer un déni du service Symantec.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Bulletin de sécurité Symantec SYM07-001 du 24 janvier 2007 http://securityresponse.symantec.com/avcenter/security/Content/2007.01.24c.html
