S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 10 août 2009 No CERTA-2009-AVI-319

Affaire suivie par :

CERTA

Objet : Vulnérabilités dans Zope

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Exécution de code arbitraire à distance ;
• contournement de la politique de sécurité.

2 Systèmes affectés

• Zope 2.x ;
• Zope 3.x.

3 Résumé

Deux vulnérabilités dans Zope Object Database (ZODB) permettent à une personne malintentionnée de contourner la politique de sécurité et d'exécuter du code arbitraire à distance.

4 Description

Deux vulnérabilités ont été découvertes dans Zope Object Database (ZODB) :

• une exécution de code arbitraire Python est possible dans les serveurs de stockage ZODB ZEO (CVE-2009-0668) ;
• un contournement du système d'authentification est possible dans les serveurs de stockage ZODB ZEO (CVE-2009-0669).

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletin de sécurité Zope 002220 du 06 août 2009 :

  http://mail.zope.org/pipermail/zope-annouce/2009-August/002220.html
  

• Référence CVE CVE-2009-0668 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-0668
  

• Référence CVE CVE-2009-0669 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-0669
  

Gestion détaillée du document

10 août 2009

version initiale.