S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 22 septembre 2006 No CERTA-2006-AVI-409

Affaire suivie par :

CERTA

Objet : Vulnérabilités dans CA

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Contournement de la politique de sécurité ;
• atteinte à la confidentialité des données.

2 Systèmes affectés

• Computer Associates eTrust Audit version r8 ;
• Computer Associates eTrust Audit version 1.
• Computer Associates eTrust Security Command Center version r8 ;
• Computer Associates eTrust Security Command Center version r8 SP1 CR1 ;
• Computer Associates eTrust Security Command Center version r8 SP1 CR2 ;
• Computer Associates eTrust Security Command Center version 1.0.

3 Résumé

4 Description

La seconde vulnérabilité provient d'une erreur dans le script eSMPAuditServlet qui valide incorrectement des paramètres. Cette vulnérabilité permet à des agresseurs de lire ou de détruirte des fichiers arbitraires.

La troisième vulnérabilité se trouve au niveau du système de gestion des alertes qui est accessible sans authentification préalable. Cette vulnérabilité permet à des agresseurs d'envoyer de fausses alertes.

5 Contournement provisoire

6 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

7 Documentation

• Bulletin de sécurité de CA :

  http://supportconnectw.ca.com/public/etrust/eTrust_scc/downloads/eTrustscc_updates.asp
  

Gestion détaillée du document

22 septembre 2006

version initiale.