S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 06 décembre 2006 No CERTA-2006-AVI-534

Affaire suivie par :

CERTA

Objet : Vulnérabilités dans SAP Internet Graphics Service

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Déni de service à distance ;
• contournement de la politique de sécurité ;
• atteinte à l'intégrité des données ;
• atteinte à la confidentialité des données.

2 Systèmes affectés

• SAP Internet Graphics Service (IGS) 6.x ;
• SAP Internet Graphics Service (IGS) 7.x.

3 Résumé

Deux vulnérabilités découvertes dans SAP Internet Graphics Service permettent à un utilisateur distant malintentionné de réaliser de nombreuses actions malveillantes sur le système vulnérable.

4 Description

Une vulnérabilité dans le traitement de certaines requêtes HTTP permet à un utilisateur distant malintentionné de porter atteinte à l'intégrité des données en supprimant arbitrairement des fichiers présents sur le serveur.

Une seconde vulnérabilité permet à un individu distant malveillant de porter atteinte à la confidentialité des données, de contourner la politique de sécurité ou de réaliser un déni de service en forçant le système à s'arrêter.

5 Solution

Appliquer les correctifs de sécurité SAP cités dans les notes #959358 et #965201 (cf. section Documentation).

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Note de mise à jour de sécurité SAP #959358 :

  http://service.sap.com/sap/support/notes/959358
  

• Note de mise à jour de sécurité SAP #965201 :

  http://service.sap.com/sap/support/notes/965201
  

• Bulletins de sécurité Cybsec du 12 décembre 2006 :

  http://www.cybsec.com/vuln/CYBSEC-Security_Pre-Advisory_SAP_IGS_Remote_Arbitrary_File_Removal.pdf
  

  http://www.cybsec.com/vuln/CYBSEC-Security_Pre-Advisory_SAP_IGS_Undocumented_Features.pdf
  

Gestion détaillée du document

06 décembre 2006

version initiale.