S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 14 mars 2005 No CERTA-2005-AVI-113

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans les produits Avaya

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Atteinte à la confidentialité des données.

2 Systèmes affectés

Toutes les versions des produits cités ci-dessous sont affectées :

• Avaya CMS Supervisor ;
• Avaya Conversant / Interactive Voice Response ;
• Avaya Interactive Response 1.x ;
• Avaya IP Agent 4.x ;
• Avaya IP Office 2.x ;
• IP Softphone 5.x ;
• Softconsole 1.x.

3 Résumé

De nombreux produits Avaya sont vulnérables à des attaques pouvant permettre à un utilisateur mal intentionné de porter atteinte à la confidentialité des données présentes sur le système vulnérable.

4 Description

La vulnérabilité est causée par des sauvegardes d'informations sensibles non sécurisées permettant à une personne malveillante ayant un accès local au système de porter atteinte à la confidentialité des données présentes sur le système.

5 Solution

L'éditeur recommande pour tous les produits affectés de :

• limiter l'accès au système et aux clés de registre.

Concernant les produits Avaya suivant :

• IP Softphone ;
• IP Agent ;
• IP Softconsole.

l'éditeur Avaya recommande de :

• ne pas utiliser l'option "Se souvenir du mot de passe pour les prochaines sessions"

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documention).

6 Documentation

• Bulletin de sécurité Avaya du 02 mars 2005 :

  http://support.avaya.com/elmodocs2/security/ASA-2005-41_Sensitive_Info_Leak.pdf
  

• Référence CVE CAN-2005-0506 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2005-0506
  

Gestion détaillée du document

14 mars 2005

version initiale.