S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 13 avril 2006 No CERTA-2006-AVI-153

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans Horde Application Framework 3

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire à distance.

2 Systèmes affectés

• Horde Application Framework version 3.1 ;
• Horde Application Framework versions 3.0.9 et antérieures.

Les versions 2.x de Horde Application Framework ne sont pas affectées.

3 Résumé

Une vulnérabilité dans Horde Application Framework 3 permet l'exécution de code arbitraire à distance.

4 Description

Horde Application Framework est un ensemble de fonctionnalités partagées par les différentes applications Horde. Les applications dépendant de Horde Application Framework sont répertoriées à l'adresse :

http://www.horde.org/projects.php

Une vulnérabilité a été découverte dans la fonctionnalité de visualisation de l'aide (help viewer). L'exploitation de cette vulnérabilité permet l'exécution de code arbitraire à distance.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletins de sécurité Horde du 28 mars 2006 :

  http://lists.horde.org/archives/announce/2006/000271.html
  

  http://lists.horde.org/archives/announce/2006/000272.html
  

• Bulletin de sécurité Debian 2006/dsa-1033 du 12 avril 2006 :

  http://www.debian.org/security/2006/dsa-1033
  

• Bulletin de sécurité Gentoo GLSA-200604-02 du 04 avril 2006 :

  http://www.gentoo.org/security/en/glsa/glsa-200604-02.xml
  

• Bulletin de sécurité FreeBSD du 28 mars 2006 :

  http://www.vuxml.org/freebsd/pkg-horde.html
  

  http://www.vuxml.org/freebsd/pkg-horde-php5.html
  

• Référence CVE CAN-2006-1491 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2006-1491
  

Gestion détaillée du document

13 avril 2006

version initiale.