S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 15 janvier 2004 No CERTA-2004-AVI-009

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans l'utilitaire LiveUpdate de Symantec

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Elévation de privilèges.

2 Systèmes affectés

• Symantec LiveUpdate versions 1.70.x à 1.90.x ;
• Symantec Norton SystemWorks 2001-2004 ;
• Symantec Norton AntiVirus et Norton AntiVirus Pro 2001-2004 ;
• Symantec Norton Internet Security et Norton Internet Security Pro 2001-2004 ;
• Symantec AntiVirus pour Handhelds v3.0.

3 Résumé

L'utilitaire de mise à jour LiveUpdate possède une vulnérabilité qui permet à un utilisateur local mal intentionné, sous certaines conditions, d'élever ses privilèges sur le système.

4 Description

L'utilitaire de mise à jour LiveUpdate est inclus dans de nombreux produits Symantec et permet d'effectuer des mises à jour automatiques de tous les produits Symantec.

Lorsqu'une session interactive LiveUpdate est disponible, un utilisateur local mal intentionné peut, grâce à l'interface graphique, élever ses propres privilèges.

5 Solution

Mettre à jour l'utilitaire LiveUpdate en téléchargeant la version 2.0

http://www.symantec.com/techsupp/files/lu/lu.html

6 Documentation

Avis de Symantec SYM04-001

http://securityresponse.symantec.com/avcenter/security/Content/2004.01.12.html

Gestion détaillée du document

15 janvier 2004

version initiale.