S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 04 février 2008
N° CERTA-2008-AVI-043
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité dans Novell GroupWise WebAccess

Gestion du document

Référence CERTA-2008-AVI-043
Titre Vulnérabilité dans Novell GroupWise WebAccess
Date de la première version04 février 2008
Date de la dernière version04 février 2008
Source(s) Changement de version GroupWise 7 Support Pack 3 Public Beta du 31 janvier 2008
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Contournement de la politique de sécurité

Systèmes affectés

  • Les versions de Novell GroupWise 7 antérieures à SP 3 Public Beta.

Résumé

Une vulnérabilité a été identifiée dans Novell GroupWise WebAccess. L'exploitation de cette dernière permettrait à une personne malveillante de lancer une attaque de type injection de code indirecte, ou cross-site scripting et d'exécuter du code arbitraire sur le navigateur d'un poste victime.

Description

Une vulnérabilité a été identifiée dans Novell GroupWise WebAccess. Le programme webacc ne manipulerait pas correctement certaines variables comme User.html, Error, User.Theme.index ou User.lang.

Une personne malveillante pourrait profiter de cette vulnérabilité pour créer une adresse réticulaire (URL) spécialement construite afin d'exécuter du code arbitraire dans le navigateur d'une victime qui aurait cliqué sur celui-ci.

Solution

Se référer au bulletin de sécurité de Novell pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 04 février 2008
    version initiale.