S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 26 mars 2007
N° CERTA-2007-AVI-137
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité de Zope

Gestion du document

Référence CERTA-2007-AVI-137
Titre Vulnérabilité de Zope
Date de la première version26 mars 2007
Date de la dernière version27 mars 2007
Source(s) Bulletin de sécurite Zope du 20 mars 2007
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Élévation de privilèges

Systèmes affectés

Logiciel Zope, jusqu'à la version 2.10.2.

Résumé

Une vulnérabilité de Zope de type cross-site scripting permet à un utilisateur malintentionné d'élever ses privilèges.

Description

Le logiciel Zope est un logiciel libre de développement de gestionnaires de contenu (CMS) et de portails.

Une vulnérabilité de type cross-site scripting permet à un utilisateur malveillant de modifier les paramètres de sécurité et/ou des comptes d'utilisateur. Cette vulnérabilité permet une élévation de privilèges.

Solution

Appliquer le correctif Hotfix-20070320. Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Noter que les versions 2.7 et antérieures ne sont plus maintenues. Le correctif n'a pas été testé pour ces versions.

Documentation

Gestion détaillée du document

    le 26 mars 2007
    version initiale.
    le 27 mars 2007
    correction de la version affectée.