S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 28 octobre 2010 No CERTA-2010-AVI-516

Affaire suivie par :

CERTA

Objet : Vulnérabilités dans HP Systems Insight Manager

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Exécution de code arbitraire ;
• déni de service ;
• élévation de privilèges ;
• injection de code indirecte à distance ;
• injection de requêtes illégitime par rebond.

2 Systèmes affectés

3 Résumé

4 Description

• (CVE-2010-3288) une injection de requêtes illégitime par rebond (CRSF) permet de détourner l'authentification de certains utilisateurs ;
• (CVE-2010-3289) une vulnérabilité non pécisée permet de l'injection de code indirecte à distance (XSS) ;
• (CVE-2010-3290) une vulnérabilité non pécisée permet à un utilisateur malveillant d'élever ses privilèges.

De plus, quand Adobe Flash est également exécuté sur l'ordinateur, des vulnérabilités de ce logiciel permettent du détournement de clic (clickjacking), du déni de service ou de l'exécution de code arbitraire.

5 Solution

La version 6.2 de HP Systems Insight Manager résoud ces problèmes.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletin de sécurité HP HPBMA02591 du 18 octobre 2010 :

  http://itrc.hp.com/service/cki/docDisplay.do?docId=HPBMA02591
  

  http://h20000.www2.hp.com/bizsupport/TechSupport/Document.jsp?objectID=c02549477
  

• Bulletin de sécurité HP HPBMA02592 du 18 octobre 2010 :

  http://itrc.hp.com/service/cki/docDisplay.do?docId=HPBMA02592
  

  http://h20000.www2.hp.com/bizsupport/TechSupport/Document.jsp?objectID=c02549485
  

• Référence CVE CVE-2010-0209 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-0209
  

• Référence CVE CVE-2010-2213 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-2213
  

• Référence CVE CVE-2010-2214 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-2214
  

• Référence CVE CVE-2010-2215 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-2215
  

• Référence CVE CVE-2010-3288 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-3288
  

• Référence CVE CVE-2010-3289 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-3289
  

• Référence CVE CVE-2010-3290 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-3290
  

Gestion détaillée du document

28 octobre 2010

version initiale.