S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 28 avril 2011 No CERTA-2011-AVI-264

Affaire suivie par :

CERTA

Objet : Vulnérabilités dans OpenSUSE Build Service

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Atteinte à l'intégrité des données ;
• injection de code indirecte à distance.

2 Systèmes affectés

• versions web 2.1.x ;
• API, versions 2.0.x et 2.1.x.

3 Résumé

4 Description

Plusieurs vulnérabilités affectent ce produit :

• (CVE-2011-0462) plusieurs vulnérabilités de type XSS affectent l'interface web ;
• (CVE-2011-0466) des défauts de l'API permettent à un utilisateur malveillant de modifier des projets ou des paquets logiciels sans disposer de droits en écriture légitimes.

5 Solution

Les versions 2.0.8 et 2.1.6 corrigent ces problèmes.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Annonce de versions OpenSUSE du 02 mars 2011 :

  http://news.opensuse.org/2011/03/02/build-service-team-releases-new-versions-fixing-security-problems/
  

• Référence CVE CVE-2011-0462 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-0462
  

• Référence CVE CVE-2011-0466 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-0466
  

Gestion détaillée du document

28 avril 2011

version initiale.