 |
|
S . G . D . S . N
Agence nationale
de la sécurité des
systèmes d'information
|
 |
|
Paris, le 17 décembre
2010
No CERTA-2010-AVI-620 |
Affaire suivie par :
CERTA
AVIS DU CERTA
Objet : Vulnérabilités dans
AirPort Extreme Base Station et Time Capsule
Tableau 1: Gestion du document
| Référence |
CERTA-2010-AVI-620 |
| Titre |
Vulnérabilités
dans AirPort Extreme Base Station et Time
Capsule |
| Date de la première
version |
17 décembre 2010 |
| Date de la dernière
version |
- |
| Source(s) |
|
| Pièce(s) jointe(s) |
Aucune |
|
Une gestion de version détaillée se trouve
à la fin de ce document.
- Déni de service à distance ;
- contournement de la politique de
sécurité.
- Time Capsule, versions du microgiciel inférieures
à 7.5.2 ;
- AirPort Extreme Base Station, versions du microgiciel
inférieures à 7.5.2 ;
De multiples vulnérabilités affectant le
microgiciel des appareils Time
Capsule et AirPort Extreme Base
Station permettent à un attaquant de contourner
la politique de sécurité ou d'effectuer un
déni de service à distance.
Cinq vulnérabilités spécifiées par
les références CVE suivantes ont
été corrigées:
- un débordement d'entier dans la gestion du
protocole SNMP permet à un attaquant de
provoquer l'arrêt inopiné du service
SNMP (CVE-2008-4390) ;
- un utilisateur malveillant du réseau peut
effectuer un déni de service (redémarrage de la
borne) en envoyant un grand nombre de paquets IPv6,
ce qui consomme les ressources de l'appareil. (CVE-2009-2189)
;
- un attaquant peut contourner les règles de
pare-feu et contacter un serveur FTP situé
derrière le NAT (CVE-2010-0039) ;
- une erreur dans la gestion des paquets ISAKMP
fragmentés par le démon racoon permet
à un attaquant d'arrêter ce démon de
manière inopinée (CVE-2010-1574) ;
- les appareils configurés pour fonctionner en mode
pont (bridge), ou configurés en mode NAT avec
un hôte par défaut subissent un déni de
service lorsque des réponses DHCP
spécialement conçues leur sont
envoyés.
Se référer au bulletin de
sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).
- 17 décembre 2010
- version initiale.
CERTA
2012-01-04
|
|
)
