Avis du CERT-FR

Json

Objet : Vulnérabilité des produits Proventia, BlackICE et RealSecure d'ISS

Gestion du document

Référence	CERTA-2004-AVI-096
Titre	Vulnérabilité des produits Proventia, BlackICE et RealSecure d'ISS
Date de la première version	19 mars 2004
Date de la dernière version	22 mars 2004
Source(s)	Avis AD20040318 d'Eeye

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Exécution de code arbitraire à distance

Systèmes affectés

BlackICE Agent for Server 3.6 ecf et versions antérieures ;
BlackICE PC Protection 3.6 ccf et versions antérieures ;
BlackICE Server Protection 3.6 ccf et versions antérieures.
Proventia A Series XPU 22.11 et versions antérieures ;
Proventia G Series XPU 22.11 et versions antérieures ;
Proventia M Series XPU 1.9 et versions antérieures ;
RealSecure Desktop 3.6 ecf et versions antérieures ;
RealSecure Desktop 7.0 ebl et versions antérieures ;
RealSecure Guard 3.6 ecf et versions antérieures ;
RealSecure Network 7.0, XPU 22.11 et versions antérieures ;
RealSecure Sentry 3.6 ecf et versions antérieures ;
RealSecure Server Sensor 6.5 for Windows SR 3.10 et versions antérieures ;
RealSecure Server Sensor 7.0 XPU 22.11 et versions antérieures ;

Résumé

Une vulnérabilité dans le composant PAM (Protocol Analysis Module) lors du traitement des réponses des serveurs ICQ permet l'exécution de code arbitraire à distance.

Description

Le composant PAM (Protocol Analysis Module) facilite la reconnaissance des protocoles réseau. Les paquets ayant comme port source le port 4000/udp seront considérés comme étant des réponses d'un serveur ICQ v5. Une vulnérabilité dans la routine de traitement du protocole ICQ du composant PAM dans les produits ISS cités (voir Systèmes affectés) permet à un utilisateur mal intentionné d'exécuter de code arbitraire à distance avec les droits SYSTEM sur les agents RealSecure/BlackICE.

Contournement provisoire

Filtrer le port source 4000/UDP au niveau du pare-feu.

Solution

Appliquer le correctif d'ISS :

http://www.iss.net/download

Documentation

Avis AD20040318 d'Eeye
http://www.eeye.com/html/Research/Advisories/AD20040318.html
Alerte id 166 d'ISS :
http://xforce.iss.net/xforce/alerts/id/166
Avis CERTA-2004-AVI-053 :
http://www.certa.ssi.gouv.fr/site/CERTA-2004-AVI-053/

Gestion détaillée du document

Date	Description
19 mars 2004	version initiale.
22 mars 2004	précisions sur le contournement provisoire.