S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 05 septembre 2005 No CERTA-2005-AVI-330

Affaire suivie par :

CERTA

Objet : Vulnérabilité de 3Com Network Supervisor

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Atteinte à la confidentialité des données.

2 Systèmes affectés

• 3Com Network Director 1.x ;
• 3Com Network Director 2.x ;
• 3Com Network Supervisor 5.x.

3 Résumé

Une vulnérabilité de type "traversée d'arborescence", découverte dans l'application 3Com Network Supervisor permet à un utilisateur mal intentionné, présent sur le réseau local, de porter atteinte à la confidentialité des données.

4 Description

3Com Network Supervisor et Director sont des outils d'administration réseau.

La vulnérabilité est causée par une erreur dans le traitement des requêtes HTTP destinées au serveur Web interne. Une personne malveillante peut, au moyen de requêtes HTTP malicieusement constituées, à destination du 21700/tcp, porter atteinte à la confidentialité des donnée hors de la racine du serveur web.

5 Solution

Se référer à la section Documentation pour l'obtention des correctifs.

6 Documentation

• Site Internet de l'éditeur :

  http://www.3com.fr
  

• Bulletin de sécurité iDEFENSE #300 du 01 septembre 2005 :

  http://www.idefense.com/application/poi/display?id=300
  

• Mise à jour ``3Com Network Director 1.0 Critical Update 1'' pour version initiale et Service Pack 1 :

  http://support.3com.com/software/3Com_network_director_v1_0_sp0_1_cu1.exe
  

• Mise à jour ``3Com Network Director 1.0 Critical Update 1'' pour Service Pack 2 & 3 :

  http://support.3com.com/software/3Com_network_director_v1_0_sp2_3_cu1.exe
  

• Mise à jour ``3Com Network Director 2.0 Critical Update 1'' :

  http://support.3com.com/software/3Com_network_director_v2_0_cu1.exe
  

• Mise à jour ``3Com Network Supervisor 5.1 Critical Update 1'' :

  http://support.3com.com/software/3Com_network_supervisor_v5_1_cu1.exe
  

Gestion détaillée du document

05 septembre 2005

version initiale.