S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 01 août 2011 No CERTA-2011-AVI-427

Affaire suivie par :

CERTA

Objet : Multiples vulnérabilités dans HP SiteScope

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Contournement de la politique de sécurité ;
• injection de code indirecte à distance.

2 Systèmes affectés

• HP SiteScope 9.x ;
• HP SiteScope 10.x ;
• HP SiteScope 11.x.

3 Résumé

4 Description

Deux vulnérabilités affectant HP SiteScope ont été identifiées :

• des entrées mal controlées peuvent être utilisées par une personne malveillante pour effectuer une injection de code indirecte à distance (XSS) ;
• une erreur dans la gestion des sessions peut être utilisée pour contourner la politique de sécurité (Session fixation).

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletin de sécurité HP c02940969 du 27 juillet 2011 :

  http://h20000.www2.hp.com/bizsupport/TechSupport/Document.jsp?objectID=c02940969
  

• Référence CVE CVE-2011-2400 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-2400
  

• Référence CVE CVE-2011-2401 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-2401
  

Gestion détaillée du document

01 août 2011

version initiale.