S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 27 juin 2007 No CERTA-2007-AVI-279

Affaire suivie par :

CERTA

Objet : Vulnérabilités dans Trend Micro OfficeScan

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Exécution de code arbitraire à distance ;
• contournement de la politique de sécurité.

2 Systèmes affectés

Trend Micro OfficeScan Corporate Edition version 8.0.

3 Résumé

Deux vulnérabilités dans Trend Micro OfficeScan permettent l'exécution de code arbitraire à distance et un contournement de la politique de sécurité.

4 Description

Deux vulnérabilités ont été découvertes dans les modules CGI du serveur Trend Micro OfficeScan :

• la première, de type débordement de mémoire, permet l'exécution de code arbitraire à distance avec les droits de l'utilisateur web ;
• la seconde permet, par l'intermédiaire de paquets HTTP dont les en-têtes ont été spécifiquement modifiés, de se connecter à la console d'administration en contournant le mécanisme d'authentification.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletin de sécurité Trend Micro du 26 juin 2007 :

  http://www.trendmicro.com/ftp/documentation/readme/osce_80_win_en_securitypatch_b1042_readme.txt
  

Gestion détaillée du document

27 juin 2007

version initiale.