S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 30 mai 2002 No CERTA-2002-AVI-113

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans JRUN 3.0 et 3.1

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire à distance.

2 Systèmes affectés

• JRUN 3.1 et 3.0 ;
• Microsoft Internet Information Server 4 et 5.

3 Résumé

Une vulnérabilité a été découverte dans le serveur d'application JRUN.

4 Description

JRUN est un serveur applicatif utilisé dans les serveurs Web les plus courants (Apache, IIS). Un débordement de mémoire présent dans un filtre ISAPI installé avec JRUN peut permettre à un individu mal intentionné d'exécuter du code arbitraire à distance avec les privilèges SYSTEM.

5 Solution

Appliquer le correctif de Macromédia selon la version affectée :

• windows (version Anglaise) :

  JRUN 3.1 :

  http://download.allaire.com/publicdl/en/jrun/jrun-31-win-upgrade-us_26414.exe
  

  
  JRUN 3.0 :

  http://download.allaire.com/publicdl/en/jrun/jr30sp2_25232.exe
  

  
  
• windows (version Japonaise):

  JRUN 3.1 :

  http://download.allaire.com/publicdl/jp/jrun/jrun-31-win-upgrade-ja_30681.exe
  

  
  JRUN 3.0 :

  http://download.allaire.com/publicdl/jp/jrun/jr30sp2_29543.exe
  

  
  
• windows (version Française) :

  JRUN 3.1 :

  http://download.allaire.com/publicdl/fr/jrun/jrun-31-win-upgrade-fr_30681.exe
  

  
  JRUN 3.0 :

  http://download.allaire.com/publicdl/fr/jrun/jr30sp2_29543.exe
  

  
  

Se référer à l'avis de Macromédia pour plus d'informations (cf. Documentation).

6 Documentation

Bulletin de sécurité #MPSB02-02 de Macromédia :

http://www.macromedia.com/security

Avis de sécurité #CA-2002-14 du CERT/CC :

http://www.cert.org/advisories/CA-2002-14.html

Gestion détaillée du document

30 mai 2002

version initiale.