S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 22 mai 2006 No CERTA-2006-AVI-208

Affaire suivie par :

CERTA

Objet : Vulnérabilité de SAP SAPDBA

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Exécution de code arbitraire ;
• contournement de la politique de sécurité ;
• élévation de privilèges.

2 Systèmes affectés

• Toutes les versions SAP R/3 pour Informix antérieures à 700 ;
• les versions SAP R/3 pour Informix version 700 dont le numéro de mise à jour est inférieur ou égal à 100.

3 Résumé

Une vulnérabilité a été identifiée dans la commande SAPDBA fournie avec les produits SAP R/3 fonctionnant pour Informix. Elle permet à un utilisateur local d'élever ses privilèges et d'exécuter des commandes arbitraires.

4 Description

SAPDBA est une commande d'administration fournie avec les produits SAP R/3. Une vulnérabilité a été identifiée pour celle-ci, quand elle est associée à une base de données Informix. Une mauvaise manipulation des variables d'environnement par SAPDBA peut être exploitée par un utilisateur local malveillant pour exécuter des commandes arbitraires avec les droits de l'utilisateur système 'Informix'.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

Mise à jour de SAPDBA fournie par SAP Service Marketplace:

http://websmp201.sap-ag.de

Gestion détaillée du document

22 mai 2006

version initiale.