S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 17 décembre 2009 No CERTA-2009-AVI-548

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans VMware vCenter Lab Manager

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Injection de code indirecte.

2 Systèmes affectés

• VMware vCenter Lab Manager 4.x ;
• VMware vCenter Server 4.x ;
• VMware Server 2.x ;
• VMware Stage Manager ;
• VMware ESX 4.x.

3 Résumé

Une vulnérabilité dans VMware vCenter Lab Manager permet à un utilisateur distant malintentionné de réaliser une injection de code indirecte.

4 Description

Une vulnérabilité dans le composant WebWorks Help, causée par un manque de contrôle sur les entrées passées en paramètres, permet à un utilisateur malveillant de réaliser une injection de code indirecte en vue d'une exécution dans le contexte du navigateur Internet de la victime.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletin de sécurité VMware VMSA-2009-0017 du 15 décembre 2009 :

  http://www.vmware.com/security/advisories/VMSA-2009-0017.html
  

• Référence CVE CVE-2009-3731 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3731
  

Gestion détaillée du document

17 décembre 2009

version initiale.