S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 06 novembre 2006 No CERTA-2006-AVI-437

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans IBM Informix Dynamic Server (IDS)

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Atteinte à l'intégrité des données ;
• élévation de privilèges.

2 Systèmes affectés

• IBM Informix Dynamic Server 10.00 ;
• IBM Informix Client SDK 2.90 ;
• IBM Informix Connect 2.90.

3 Résumé

Deux vulnérabilités dans IBM Informix permettent à un utilisateur local malintentionné d'exécuter du code avec les privilèges d'un autre utilisateur ou de compromettre l'intégrité des données présentes sur le système.

4 Description

Une vulnérabilité liée à une mauvaise gestion des privilèges dans les scripts d'installation d'IBM Informix permet à un utilisateur local malintentionné d'exécuter du code arbitraire avec les privilèges de l'utilisateur installant l'application.

Une seconde vulnérabilité découverte dans la gestion des fichiers temporaires dans /tmp/ peut être exploitée au moyen d'un lien symbolique afin de compromettre l'intégrité des données du système.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Site de l'éditeur IBM :

  http://www.inm.com/fr/
  

• Bulletin de sécurité IBM #1247438 du 30 octobre 2006 :

  http://www-1.ibm.com/support/docview.wss?uid=swg21247438
  

Gestion détaillée du document

06 novembre 2006

version initiale.