S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 25 avril 2007 No CERTA-2007-AVI-188

Affaire suivie par :

CERTA

Objet : Vulnérabilités dans BrightStor ARCserve Backup Media Server

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire à distance.

2 Systèmes affectés

• BrightStor ARCserve Backup r11.5 ;
• BrightStor ARCserve Backup r11.1 ;
• BrightStor ARCserve Backup r11 for Windows ;
• BrightStor Enterprise Backup r10.5 ;
• BrightStor ARCserve Backup v9.01 ;
• CA Server Protection Suite r2 ;
• CA Business Protection Suite r2 ;
• CA Business Protection Suite for Microsoft Small Business Server Standard Edition r2 ;
• CA Business Protection Suite for Microsoft Small Business Server Premium Edition r2.

3 Résumé

Deux vulnérabilités dans BrightStor ARCserve Backup permettent l'exécution de code arbitraire à distance.

4 Description

Deux vulnérabilités ont été découvertes dans BrightStor ARCserve Backup. Elles affectent le service RPC du fichier mediasvr.exe. Un utilisateur malintentionné peut, par le biais de paquets RPC spécifiquement conçus, exécuter du code arbitraire à distance.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletin de sécurité Computer Associates du 24 avril 2007 :

  http://supportconnectw.ca.com/public/storage/infodocs/babmedser-secnotice.asp
  

• Bulletin de sécurité ZDI-07-022 du 24 avril 2007 :

  http://www.zerodayinitiative.com/advisories/ZDI-07-022.html
  

• Référence CVE CVE-2007-1785 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-1785
  

• Référence CVE CVE-2007-2139 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-2139
  

Gestion détaillée du document

25 avril 2007

version initiale.