Conditions d'utilisation de ce document :	http://www.certa.ssi.gouv.fr/certa/apropos.html
Dernière version de ce document :	http://www.certa.ssi.gouv.fr/site/CERTA-2005-AVI-502

Gestion du document

Tableau 1: Gestion du document

Référence	CERTA-2005-AVI-502
Titre	Vulnérabilité dans le client Progam Neighborhood de Citrix
Date de la première version	22 décembre 2005
Date de la dernière version	-
Source(s)	Bulletin de sécurité Citrix #CTX108354
Pièce(s) jointe(s)	Aucune

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Execution de code arbitraire à distance.

2 Systèmes affectés

Citrix Program Neighborhood versions 9.1 et antérieures pour Windows.

3 Résumé

Une vulnérabilité dans le client Citrix Program Neighborhood permet à un utilisateur distant mal intentionné d'exécuter du code arbitraire.

4 Description

Le client Citrix Program Neighborhood permet d'accéder directement à des applications publiées par un serveur Citrix sans passer nécessairement par un bureau Citrix complet. Ce client dispose d'un mecanisme de découverte des applications disponibles basé sur UDP. Une erreur dans la mise en œuvre de cette fonctionnalité permet à un utilisateur distant mal intentionné de provoquer un débordement de tampon en présentant une application avec un nom exagérément long. Ce faisant, il lui est possible d'exécuter du code arbitraire sur la machine vulnérable dans le contexte du client Citrix.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention de correctifs (cf. Documentation).

6 Documentation

Bulletin de sécurité Citrix #CTX108354 du 13 décembre 2005 :
```
http://support.citrix.com/article/CTX108354
```

Référence CVE CAN-2005-3652 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2005-3652

Gestion détaillée du document

22 décembre 2005: version initiale.

CERTA
2012-01-04

Premier Ministre / Secrétariat Général de la Défense et de la Sécurité Nationale / Agence nationale de la sécurité des systèmes d'information

webmestre

Dernière mise à jour : le 24/05/2012

Centre d'Expertise Gouvernemental de Réponse et de Traitement des Attaques informatiques

Centre d'Expertise Gouvernemental de
Réponse et de Traitement des Attaques informatiques