Avis du CERT-FR
Objet : Vulnérabilités de BEA AquaLogic
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à l'intégrité des données
- Atteinte à la confidentialité des données
- Contournement de la politique de sécurité
Systèmes affectés
- AquaLogic Enterprise Security 2.0, jusqu'au Service Pack 2 ;
- AquaLogic Enterprise Security 2.1, jusqu'au Service Pack 1 ;
- AquaLogic Enterprise Security 2.2.
- AquaLogic Service Bus 2.0, 2.1 et 2.5 ;
Description
BEA est une suite de produits pour gérer les services au sein d'un environnement hétérogène, ou SOA (pour Service-Oriented Architecture). Plusieurs vulnérabilités ont été identifiées :
- le service proxy ne manipulerait pas correctement certaines requêtes, et permettrait donc de contourner la politique d'accès autorisée par BEA AquaLogic Service Bus ;
- les utilisateurs ayant un compte désactivé mais non supprimé pourraient, sous certaines conditions, continuer à se connecter au serveur BEA AquaLogic Enterprise Security.
Ces vulnérabilités semblent nécessiter un serveur d'authentification Active Directory LDAP pour être exploitable.
Solution
Se référer aux bulletins de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Avis de sécurité BEA dev2dev :
http://dev2dev.bea.com/advisoriesnotifications/index.html -
Référence CVE CVE-2007-0432
https://www.cve.org/CVERecord?id=CVE-2007-0432 -
Référence CVE CVE-2007-0433
https://www.cve.org/CVERecord?id=CVE-2007-0433 -
Référence CVE CVE-2007-0434
https://www.cve.org/CVERecord?id=CVE-2007-0434
Gestion détaillée du document
| Date | Description |
|---|---|
| 18 janvier 2007 | version initiale. |
| 23 janvier 2007 | ajout des références CVE. |