S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 16 août 2005 No CERTA-2005-AVI-313

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans Veritas Backup Exec

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Atteinte à la confidentialité des données.

2 Systèmes affectés

• Veritas Backup Exec for Windows Servers 8.6 ;
• Veritas Backup Exec for Windows Servers 9.0 ;
• Veritas Backup Exec for Windows Servers 9.1 ;
• Veritas Backup Exec for Windows Servers 10.0 ;
• Veritas Backup Exec Remote Agent for Windows Servers ;
• Veritas Backup Exec Remote Agent for Unix or Linux Servers ;
• Veritas Backup Exec for NetWare Servers 9.0 ;
• Veritas Backup Exec for NetWare Servers 9.1 ;
• Veritas Backup Exec Remote Agent for NetWare Servers ;
• Veritas NetBackup for NetWare Media Server Option 4.5 ;
• Veritas NetBackup for NetWare Media Server Option 4.5 FP ;
• Veritas NetBackup for NetWare Media Server Option 5.0 ;
• Veritas NetBackup for NetWare Media Server Option 5.1.

3 Description

Une vulnérabilité, liée à l'utilisation d'un mot de passe statique lors du processus d'authentification entre les agents et les serveurs des produits Veritas, a été découverte. Cette vulnérabilité peut être exploitée par un utilisateur mal intentionné afin d'obtenir un accès distant et de télécharger des fichiers vers ou depuis le serveur de sauvegarde.

4 Contournement provisoire

Filtrer le port 10000/tcp.

5 Solution

Appliquer le correctif de Symantec tel qu'indiqué dans le bulletin de sécurité SYM05-011 (voir Documentation).

6 Documentation

• Bulletin de sécurité de Symantec SYM05-011 du 12 août 2005 :

  http://securityresponse.symantec.com/avcenter/security/Content/2005.08.12b.html
  

• Correctifs pour Veritas Backup Exec for Windows Servers :

  http://support.veritas.com/docs/278434
  

• Correctifs pour Veritas Backup Exec for NetWare Servers :

  http://support.veritas.com/docs/278431
  

• Correctifs pour Veritas NetBackup for NetWare Media Server Option :

  http://support.veritas.com/docs/278430
  

Gestion détaillée du document

16 août 2005

version initiale.