Avis du CERT-FR

Json

Objet : Vulnérabilité du client FTP sous HP-UX

Gestion du document

Référence	CERTA-2004-AVI-192
Titre	Vulnérabilité du client FTP sous HP-UX
Date de la première version	11 juin 2004
Date de la dernière version	11 juin 2004
Source(s)	Bulletin HPSBUX1050 de HP

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Exécution de code arbitraire à distance

Systèmes affectés

HP-UX B.11.00, B.11.11, B.11.22.

Description

Le client FTP ne gère pas correctement le nom des fichiers commençant par le caractère "|".

Au moyen d'un site FTP astucieusement construit, il est possible de forcer l'exécution de commandes arbitraires sur un poste client utilisant une version vulnérable de la commande FTP.

Solution

Se référer au bulletin de sécurité de l'éditeur (cf. section Documentation) pour l'obtention des correctifs.

Documentation

Bulletin HPSBUX1050 "FTP remote unauthorized access" de HP :
http://itrc.hp.com
Note #VU258721 du CERT/CC :
http://www.kb.cert.org/vuls/id/258721

Gestion détaillée du document

Date	Description
11 juin 2004	version initiale.