S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 24 juin 2009 No CERTA-2009-AVI-250

Affaire suivie par :

CERTA

Objet : Vulnérabilités dans OCS Inventory NG Server

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Atteinte à la confidentialité des données ;
• injection SQL.

2 Systèmes affectés

• OCS Inventory NG Server versions antérieures à 1.02.1 sur GNU Linux/UNIX;
• OCS Inventory NG Server versions antérieures à 1.02.1 sur Microsoft Windows.

3 Résumé

De multiples vulnérabilités ont été corrigées dans OCS Inventory NG Server.

4 Description

Deux failles ont été corrigées dans OCS Inventory NG Server. La première permet à une personne malintentionnée d'effectuer des injections SQL. La seconde vulnérabilité (CVE-2009-2261), dans le fichier cvs.php, permet à une personne d'accéder à des fichiers arbitraires du système.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletin de sécurité OCS Inventory du 30 mai 2009 :

  http://www.ocsinventory-ng.org/index.php?mact=News,cntnt01,detail,0&cntnt01articleid=140&cntnt01returnid=111
  

• Référence CVE CVE-2009-2166 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-2166
  

Gestion détaillée du document

24 juin 2009

version initiale.