Avis du CERT-FR
Objet : Vulnérabilités dans HP Systems Insight Manager
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Déni de service
- Exécution de code arbitraire
- Injection de code indirecte à distance
- Injection de requêtes illégitimes par rebond (CSRF)
- Élévation de privilèges
Systèmes affectés
HP Systems Insight Manager, versions antérieures à la version 6.2.
Résumé
Plusieurs vulnérabilités affectent HP Systems Insight Manager dont certaines ne concernent que les plateformes exécutant également Adobe Flash.
Description
Plusieurs vulnérabilités affectent HP Systems Insight Manager :
- (CVE-2010-3288) une injection de requêtes illégitime par rebond (CRSF) permet de détourner l'authentification de certains utilisateurs ;
- (CVE-2010-3289) une vulnérabilité non pécisée permet de l'injection de code indirecte à distance (XSS) ;
- (CVE-2010-3290) une vulnérabilité non pécisée permet à un utilisateur malveillant d'élever ses privilèges.
De plus, quand Adobe Flash est également exécuté sur l'ordinateur, des vulnérabilités de ce logiciel permettent du détournement de clic (clickjacking), du déni de service ou de l'exécution de code arbitraire.
Solution
La version 6.2 de HP Systems Insight Manager résoud ces problèmes.
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité HP HPBMA02591 du 18 octobre 2010 :
http://itrc.hp.com/service/cki/docDisplay.do?docId=HPBMA02591 -
Bulletin de sécurité HP HPBMA02591 du 18 octobre 2010 :
http://h20000.www2.hp.com/bizsupport/TechSupport/Document.jsp?objectID=c02549477 -
Bulletin de sécurité HP HPBMA02592 du 18 octobre 2010 :
http://h20000.www2.hp.com/bizsupport/TechSupport/Document.jsp?objectID=c02549485 -
Bulletin de sécurité HP HPBMA02592 du 18 octobre 2010 :
http://itrc.hp.com/service/cki/docDisplay.do?docId=HPBMA02592 -
Référence CVE CVE-2010-0209
https://www.cve.org/CVERecord?id=CVE-2010-0209 -
Référence CVE CVE-2010-2213
https://www.cve.org/CVERecord?id=CVE-2010-2213 -
Référence CVE CVE-2010-2214
https://www.cve.org/CVERecord?id=CVE-2010-2214 -
Référence CVE CVE-2010-2215
https://www.cve.org/CVERecord?id=CVE-2010-2215 -
Référence CVE CVE-2010-3288
https://www.cve.org/CVERecord?id=CVE-2010-3288 -
Référence CVE CVE-2010-3289
https://www.cve.org/CVERecord?id=CVE-2010-3289 -
Référence CVE CVE-2010-3290
https://www.cve.org/CVERecord?id=CVE-2010-3290
Gestion détaillée du document
| Date | Description |
|---|---|
| 28 octobre 2010 | version initiale. |