S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 28 mai 2008
N° CERTA-2008-AVI-273
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilités d'EMC AlphaStor

Gestion du document

Référence CERTA-2008-AVI-273
Titre Vulnérabilités d'EMC AlphaStor
Date de la première version 28 mai 2008
Date de la dernière version 28 mai 2008
Source(s) Bulletins de sécurité iDefense 702 et 703 du 27 mai 2008
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Contournement de la politique de sécurité
  • Exécution de code arbitraire à distance

Systèmes affectés

  • EMC AlphaStor version 3.1 SP1 ainsi que celles antérieures.

Résumé

Des vulnérabilités ont été identifiées dans les applications de maintenance de disques EMC AlphaStor. Elles peuvent être exploitées par une personne malveillante distante afin d'exécuter du code arbitraire.

Description

Des vulnérabilités ont été identifiées dans les applications de maintenance de disques EMC AlphaStor :

  • certaines concernent le service Server Agent et en particulier le processus Command Line Interface en écoute par défaut sur le port 41025/tcp. Ces vulnérabilités peuvent être exploitées par une personne malveillante distante qui pourrait se connecter au port et envoyer une trame spécialement construite.
  • une autre concerne le service Library Manager et en particulier le processus robotd en écoute par défaut sur le port 3500/tcp. Cette vulnérabilité peut être exploitée par une personne malveillante distante qui pourrait se connecter au port et envoyer une requête spécialement construite.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 28 mai 2008
    version initiale.