S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 25 janvier 2007
N° CERTA-2007-AVI-053
Affaire suivie par: CERT-FR
le 25 janvier 2007

Avis du CERT-FR

Objet: Vulnérabilité de Symantec Web Security

Gestion du document

Référence CERTA-2007-AVI-053
Titre Vulnérabilité de Symantec Web Security
Date de la première version 25 janvier 2007
Date de la dernière version 25 janvier 2007
Source(s) Bulletin de sécurité Symantec SYM07-001 du 24 janvier 2007
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire à distance ;
  • déni de service à distance.

Systèmes affectés

Symantec Web Security 6.0 pour les versions antérieures à 3.0.1.85.

Description

Le produit Symantec Web Security propose des mesures de sécurité au niveau d'une passerelle Web, comme filtrer du contenu ou faire une analyse antivirale. Deux vulnérabilités ont été identifiées dans celui-ci :

  • la console de gestion ne vérifierait pas correctement ses propres balises HTML dans les messages d'erreur retournés au client. Une personne malveillante pourrait effectuer une attaque de type cross-site scripting afin d'exécuter des scripts dans les pages HTML interprêtées par le navigateur de la victime ;
  • une personne malveillante distante pourrait utiliser l'interface d'enregistrement (licence) pour envoyer un gros fichier au système Web Security vulnérable. Cela ne nécessite pas d'authentification préalable, et peut provoquer un déni du service Symantec.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 25 janvier 2007
    version initiale.