Avis du CERT-FR
Objet : Multiples vulnérabilités dans EMC Captiva eInput
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à la confidentialité des données
- Déni de service
- Injection de code indirecte à distance
Systèmes affectés
EMC Captiva eInput 2.x.
Résumé
Deux vulnérabilités dans EMC Captiva eInput ont été corrigées. Elles permettent à un utilisateur malveillant de conduire des attaques par injection de code indirecte, d'accéder à des données protégées, ou de porter atteinte à la disponibilité du système.
Description
Deux vulnérabilités ont été identifiées dans EMC Captiva eInput :
- certaines entrées non spécifiées ne sont pas correctement traitées avant d'être retournées à l'utilisateur, et permettent ainsi une injection de code indirecte à distance ;
- Une erreur dans une fonction EMC Captiva eInput ActiveX permet un accès distant à des données locales. Un déni de service peut aussi être conduit via ce vecteur.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
La mise à jour EMC Captiva eInput 2.1.1.37 corrige ces problèmes.
Documentation
-
Bulletin de sécurité EMC ESA-2011-024 du 26 juillet 2011
http://archives.neohapsis.com/archives/bugtraq/2011-07/att-0178/ESA-2011-024.txt -
Référence CVE CVE-2011-1743
https://www.cve.org/CVERecord?id=CVE-2011-1743 -
Référence CVE CVE-2011-1744
https://www.cve.org/CVERecord?id=CVE-2011-1744
Gestion détaillée du document
| Date | Description |
|---|---|
| 29 juillet 2011 | version initiale. |