S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 11 juillet 2006 No CERTA-2006-AVI-280

Affaire suivie par :

CERTA

Objet : Vulnérabilité de Qbik WinGate

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Contournement de la politique de sécurité ;
• atteinte à l'intégrité des données ;
• atteinte à la confidentialité des données.

2 Systèmes affectés

Les versions antérieures à 6.1.4 Build 1099.

3 Description

WinGate est une passerelle applicative offrant plusieurs services de communication. Une vulnérabilité a été identifiée dans celle-ci, au niveau du service de messagerie IMAP (pour Internet Message Access Protocol) servant à rapatrier des courriers électroniques. Il ne controle pas correctement certaines commandes comme "CREATE", "SELECT", "DELETE", "RENAME", "COPY", "APPEND" ou "LIST". Un utilisateur malveillant distant peut profiter de cette vulnérabilité pour consulter ou modifier les courriers d'autres utilisateurs. Il pourrait aussi créer ou accéder à certains répertoires sur le système vulnérable.

4 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

5 Documentation

• Référence CVE CVE-2006-2917 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-2917
  

• Mise à jour WinGate de Qbik du 10 juillet 2006 :

  http://www.wingate.com/download.php
  

Gestion détaillée du document

11 juillet 2006

version initiale.