S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 16 novembre 2007
N° CERTA-2007-AVI-503
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité dans Citrix Presentation Server

Gestion du document

Référence CERTA-2007-AVI-503
Titre Vulnérabilité dans Citrix Presentation Server
Date de la première version16 novembre 2007
Date de la dernière version16 novembre 2007
Source(s) Bulletin de sécurité Citrix CTX115245 du 14 novembre 2007
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de commandes arbitraires à distance

Systèmes affectés

  • Access Essentials 1.0 ;
  • Citrix Access Essentials 1.5 ;
  • Citrix Access Essentials 2.0 ;
  • Citrix Metaframe Presentation Server 3.0 for Microsoft Windows 2000 ;
  • Citrix Metaframe Presentation Server 3.0 for Microsoft Windows 2003 ;
  • Citrix Presentation Server 4.0 for Microsoft Windows 2000 ;
  • Citrix Presentation Server 4.0 for Microsoft Windows 2003 ;
  • Citrix Presentation Server 4.0 x64 Edition ;
  • Citrix Presentation Server 4.5 for Windows Server 2003 ;
  • Citrix Presentation Server 4.5 for Windows Server 2003 Feature Pack 1 ;
  • Citrix Presentation Server 4.5 for Windows Server 2003 x64 Edition.

Résumé

Une vulnérabilité de Citrix Presentation Server permet à une personne malintentionnée d'exécuter des commandes arbitraires à distance.

Description

Une vulnérabilité a été découverte dans Citrix Presentation Server. Une personne malveillante peut ainsi exécuter des commandes arbitraires à distance en incitant un utilisateur autorisé à invoquer une connexion ICA (Independent Computing Architecture) vers Citrix Presentation Server au moyen d'une page web malicieusement construite, par exemple.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation). Des contournements permettant de mitiger les possibilités d'exploitation y sont également décrits.

Documentation

Gestion détaillée du document

    le 16 novembre 2007
    version initiale.