S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 22 février 2007 No CERTA-2007-AVI-096

Affaire suivie par :

CERTA

Objet : Vulnérabilité de TrendMicro ServerProtect

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Contournement de la politique de sécurité.

2 Systèmes affectés

3 Résumé

Un défaut de vérification dans l'authentification permet à un utilisateur malintentionné de contourner la politique de sécurité.

4 Description

TrendMicro ServerProtect pour Linux utilise une interface d'administration en mode web sur laquelle l'authentification se fait par identifiant et mot de passe. Une erreur dans la vérification permet à un utilisateur malveillant de se connecter avec les droits d'administration. Il peut alors modifier la politique antivirus, voire désactiver l'antivirus.

La version pour Microsoft Windows n'est pas vulnérable.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Site de TrendMicro :

  http://www.trendmicro.com/download/product.asp?productid=20
  

• Bulletin de sécurité iDefense du 16 février 2007 :

  http://www.idefense.com/intelligence/vulnerabilities/display?id=477
  

Gestion détaillée du document

22 février 2007

version initiale.