Avis du CERT-FR
Objet : Vulnérabilité dans des produits SAP
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Contournement de la politique de sécurité
- Exécution de code arbitraire à distance
Systèmes affectés
- Le programme SAP SAPSprint dont les versions sont antérieures à 1018 ;
- SAP GUI pour Windows 6.20 n'ayant pas le niveau de correctif 72 ;
- SAP GUI pour Windows 6.40 n'ayant pas le niveau de correctif 30 ;
- SAP GUI pour Windows 7.00 n'ayant pas le niveau de correctif 6.
Résumé
Plusieurs vulnérabilités ont été identifiées dans le démon SAPlpd dédié à l'impression et mis en œuvre dans des produits SAP. L'exploitation de certaines d'entre elles permettent à une personne malveillante distante d'exécuter du code arbitraire sur le système vulnérable.
Description
Plusieurs vulnérabilités ont été identifiées dans le démon SAPlpd dédié à l'impression et mis en œuvre dans des produits SAP comme SAP GUI pour Windows, ou SAPSprint.
Elles concernent de mauvaises implémentations liées aux fonctions memcpy, sprintf ou strcpy.
L'exploitation de certaines d'entre elles permettent à une personne malveillante distante d'exécuter du code arbitraire sur le système vulnérable.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Site de mise à jour SAP :
http://www.sap.com/index.epx -
Référence CVE CVE-2008-0620
https://www.cve.org/CVERecord?id=CVE-2008-0620 -
Référence CVE CVE-2008-0621
https://www.cve.org/CVERecord?id=CVE-2008-0621
Gestion détaillée du document
| Date | Description |
|---|---|
| 06 février 2008 | version initiale. |