S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 09 juin 2006 No CERTA-2006-AVI-232

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans Qbik WinGate

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Exécution de code arbitraire à distance ;
• déni de service à distance.

2 Systèmes affectés

Les versions de Qbik Wingate antérieures à 6.1.3 et postérieures à 5.0.

3 Description

Qbik Wingate est une passerelle Internet offrant plusieurs services de communication. Une vulnérabilité a été identifiée dans celle-ci, au niveau de la résolution de nom DNS (pour Domain Name System). Elle ne gère pas correctement certaines requêtes contenant des noms de machines trop grands. Un utilisateur malveillant peut profiter de cette vulnérabilité, de type dépassement de mémoire, pour envoyer une requête particulière, afin d'exécuter des commandes arbitraires à distance ou perturber les services offerts par la passerelle.

4 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

5 Documentation

Bulletin de mise à jour Qbik du 9 juin 2006 :

http://www.wingate.com/products.php

Gestion détaillée du document

09 juin 2006

version initiale.