Conditions d'utilisation de ce document :	http://www.certa.ssi.gouv.fr/certa/apropos.html
Dernière version de ce document :	http://www.certa.ssi.gouv.fr/site/CERTA-2006-AVI-248

Gestion du document

Tableau 1: Gestion du document

Référence	CERTA-2006-AVI-248
Titre	Vulnérabilité dans l'authentification sur HP System Management Homepage
Date de la première version	20 juin 2006
Date de la dernière version	-
Source(s)	Grégoire DE BACKER de la société TELINDUS-SRC
Pièce(s) jointe(s)	Aucune

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Contournement de la politique de sécurité ;
déni de service à distance.

2 Systèmes affectés

HP System Management Homepage.

3 Résumé

Un problème de sécurité présent sur l'authentification "Trust by name" HP System Management Homepage (SMH) peut être exploité par un utilisateur mal intentionné pour contourner la politique de sécurité et réaliser un deni de service de l'équipement géré par cet outil.

4 Description

HP System Management Homepage (SMH) est un outil capable d'assurer l'administration d'un équipement HP au travers d'une interface web.
HP Systems Insight Manager(SIM) est un outil destiné à superviser un ensemble de machines équipés de SMH.

Un problème de sécurité dans le mode d'authentification Trust by name sur HP System Management Homepage (SMH) permet à un utilisateur mal intentionné de contourner le mécanisme d'authentification et d'effectuer des tâches d'administration sur le système.
Afin de sécuriser l'authentification sur SMH, HP recommande aux utilisateurs d'utiliser le mode d'authentification par certificat.

5 Contournement provisoire

Utilisez l'authentification "Trust by certificate" certificat pour vous connecter au système avec HPSIM ;
le CERTA vous recommande de filtrer le port destination 2381/tcp provenant de l'exterieur de votre réseau.

Gestion détaillée du document

20 juin 2006: version initiale.

CERTA
2012-01-04

Premier Ministre / Secrétariat Général de la Défense et de la Sécurité Nationale / Agence nationale de la sécurité des systèmes d'information

webmestre

Dernière mise à jour : le 25/05/2012

Centre d'Expertise Gouvernemental de Réponse et de Traitement des Attaques informatiques