S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 29 mai 2000 No CERTA-2000-AVI-003

Affaire suivie par :

CERTA

Objet : Vulnérabilité sous HP Web JetAdmin Version 5.6 et antérieures

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Systèmes concernés

• HP Web JetAdmin Version 5.6 (Microsoft Windows 2000)
• HP Web JetAdmin Version 5.6 (Microsoft Windows NT 4.0) (Testé par CERTA)
• HP Web JetAdmin Version 5.6 (HP-UX 10.20)
• HP Web JetAdmin Version 5.6 (HP-UX 11.x)
• HP Web JetAdmin Version 5.6 (Linux - SuSe)
• HP Web JetAdmin Version 5.6 (Novell Netware)
• HP Web JetAdmin Version 5.6 (Red Hat Linux)
• HP Web JetAdmin Version 5.6 (Solaris)

2 Risque

• Accès aux données ;
• Contournement des règles de sécurité.

3 Description

Par le biais d'une URL construite astucieusement, un utilisateur mal intentionné peu avoir accès à certains fichiers présents sur le serveur équipé de HP Web JetAdmin.

4 Solution

4.1 Passage en version 6

Le passage en version 6 de HP Web jetAdmin supprime cette vulnérabilité mais une autre faille a été découverte : grâce à une URL mal formée un utilisateur distant peut entraîner un déni de service sur la machine hébergeant HP Web JetAdmin.

4.2 Solution temporaire

Dans le gestionnaire de l'application, n'autoriser l'accès que sur des adresses IP de machines reconnues sûres.

Editeur Informé : Un correctif est en cours de réalisation.

Gestion détaillée du document

29 mai 2000

version initiale.