S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 06 février 2008
N° CERTA-2008-AVI-052
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilités dans des produits Novell

Gestion du document

Référence CERTA-2008-AVI-052
Titre Vulnérabilités dans des produits Novell
Date de la première version 06 février 2008
Date de la dernière version 06 février 2008
Source(s) Avis de mises à jour Novell 3908994 et 3726376 du 04/05 février 2008
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Atteinte à l'intégrité des données
  • Atteinte à la confidentialité des données
  • Contournement de la politique de sécurité
  • Élévation de privilèges

Systèmes affectés

  • Novell Challenge Response Client (LCM) version 2.7.5 ainsi que celles antérieures. Cette version est fournie avec Novell Client 4.91 SP4 dans le produit NMAS (Novell Modular Authentication Services).
  • Novell ZENworks Patch Management 6.2 : ZPM Update Agent pour la version 6.2094 ou celles antérieures ;
  • Novell ZENworks Patch Management 6.3 : ZPM Update Agent pour la version 6.3450 ou celles antérieures ;
  • Novell ZENworks Patch Management 6.4 : ZPM Update Agent pour la version 6.4102 ou celles antérieures ;

Résumé

Des vulnérabilités ont été identifiées dans des produits Novell. Elles permettraient à des utilisateux malveillants locaux d'élever leur privilège, d'accéder à des informations sensibles ou à modifier illégitimement des données.

Description

Des vulnérabilités ont été identifiées dans des produits Novell :

  1. deux vulnérabilités dans Novell ZENworks Patch Management permettent à un utilisateur malveillant local de modifier des fichiers arbitraires ou d'élever ses privilèges. Elles concernent le script logtrimmer et la fonction rebootTask.
  2. une vulnérabilité a été identifiée dans Novell Challenge Response Client. Elle permettrait à des utilisateurs locaux d'accéder à des informations sensibles.

Solution

Se référer aux bulletins de sécurité de Novell pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 06 février 2008
    version initiale.