S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 18 novembre 2011 No CERTA-2011-AVI-647

Affaire suivie par :

CERTA

Objet : VMware vCenter Update Manager

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Contournement de la politique de sécurité ;
• atteinte à la confidentialité des données.

2 Systèmes affectés

• vCenter Update Manager version 4.1 antérieure à Update 2 ;
• vCenter Update Manager version 4.0 antérieure à Update 4.

3 Résumé

4 Description

La vulnérabilité provient de l'application tierce Jetty Web intégrée à vCenter Update Manager. La manière dont l'application tierce est configurée permet à une personne malintentionnée de parcourir des répertoires.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletin de sécurité VMware VMSA-2011-0014 du 17 novembre 2011 :

  http://www.vmware.com/security/advisories/VMSA-2011-0014.html
  

• Référence CVE CVE-2011-4404 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-4404
  

Gestion détaillée du document

18 novembre 2011

version initiale.