Avis du CERT-FR
Objet : Vulnérabilités dans SAP Internet Graphics Service
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à l'intégrité des données
- Atteinte à la confidentialité des données
- Contournement de la politique de sécurité
- Déni de service à distance
Systèmes affectés
- SAP Internet Graphics Service (IGS) 6.x ;
- SAP Internet Graphics Service (IGS) 7.x.
Résumé
Deux vulnérabilités découvertes dans SAP Internet Graphics Service permettent à un utilisateur distant malintentionné de réaliser de nombreuses actions malveillantes sur le système vulnérable.
Description
Une vulnérabilité dans le traitement de certaines requêtes HTTP permet à un utilisateur distant malintentionné de porter atteinte à l'intégrité des données en supprimant arbitrairement des fichiers présents sur le serveur.
Une seconde vulnérabilité permet à un individu distant malveillant de porter atteinte à la confidentialité des données, de contourner la politique de sécurité ou de réaliser un déni de service en forçant le système à s'arrêter.
Solution
Appliquer les correctifs de sécurité SAP cités dans les notes #959358 et #965201 (cf. section Documentation).
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletins de sécurité Cybsec du 12 décembre 2006
http://www.cybsec.com/vuln/CYBSEC-Security_Pre-Advisory_SAP_IGS_Undocumented_Features.pdf -
Note de mise à jour de sécurité SAP #959358 :
http://service.sap.com/sap/support/notes/959358 -
Note de mise à jour de sécurité SAP #965201 :
http://service.sap.com/sap/support/notes/965201
Gestion détaillée du document
| Date | Description |
|---|---|
| 06 décembre 2006 | version initiale. |