S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 28 janvier 2009 No CERTA-2009-AVI-032

Affaire suivie par :

CERTA

Objet : Multiples vulnérabilités dans CA Cohesion Application Configuration Manager

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Déni de service à distance ;
• contournement de la politique de sécurité ;
• atteinte à l'intégrité des données ;
• atteinte à la confidentialité des données.

2 Systèmes affectés

CA Cohesion Application Configuration Manager version 4.5.

3 Résumé

De multiples vulnérabilités affectent la version d'Apache Tomcat fournie avec CA Cohesion Application Configuration Manager.

4 Description

De multiples vulnérabilités affectent la version d'Apache Tomcat incluse dans CA Cohesion Application Configuration Manager. Ces vulnérabilités sont décrites dans les diverses références CVE (voir section Documentation) et permettent notamment de réaliser un déni de service à distance, d'injecter des scripts, d'afficher le contenu de certains fichiers, etc.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletin de sécurité CA20090123-01 du 26 janvier 2009 :

  https://support.ca.com/irj/portal/anonymous/phpsupcontent?contentID=197540
  

• Référence CVE CVE-2005-2090 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2005-2090
  

• Référence CVE CVE-2005-3510 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2005-3510
  

• Référence CVE CVE-2006-3835 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-3835
  

• Référence CVE CVE-2006-7195 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-7195
  

• Référence CVE CVE-2006-7196 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-7196
  

• Référence CVE CVE-2007-0450 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-0450
  

• Référence CVE CVE-2007-1355 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-1355
  

• Référence CVE CVE-2007-1358 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-1358
  

• Référence CVE CVE-2007-1858 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-1858
  

• Référence CVE CVE-2007-2449 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-2449
  

• Référence CVE CVE-2007-2450 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-2450
  

• Référence CVE CVE-2007-3382 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-3382
  

• Référence CVE CVE-2007-3385 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-3385
  

• Référence CVE CVE-2007-3386 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-3386
  

• Référence CVE CVE-2008-0128 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-0128
  

Gestion détaillée du document

28 janvier 2009

version initiale.