S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 18 juillet 2005
N° CERTA-2005-AVI-269
Affaire suivie par: CERT-FR
le 18 juillet 2005

Avis du CERT-FR

Objet: Vulnérabilité de Sybase EAServer

Gestion du document

Référence CERTA-2005-AVI-269
Titre Vulnérabilité de Sybase EAServer
Date de la première version 18 juillet 2005
Date de la dernière version 18 juillet 2005
Source(s) Bulletin de sécurité Sybase du 11 juillet 2005
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Exécution de code arbitraire à distance.

Systèmes affectés

  • Sybase EAServer version 5.2 (Windows, Linux, Solaris, HP-UX PA RISC) ;
  • Sybase EAServer version 5.1 (Windows, Solaris, IBM AIX) ;
  • Sybase EAServer version 5.0 (Windows, Linux, Solaris, IBM AIX, HP-UX PA RISC, HP-UX Itanium) ;
  • Sybase EAServer version 4.2.5 (Windows et Solaris).

Description

Une vulnérabilité a été identifiée dans Sybase EAServer.

Cette vulnérabilité pourrait être exploitée par un utilisateur mal intentionné distant afin de compromettre le système en exécutant du code arbitraire à distance. Le code s'exécutera alors avec les droits inhérents au processus jagsrv.exe.

Pour que l'exploitation soit réussie, l'attaquant doit au préalable s'authentifier sur la page d'administration /Webconsole/.

Solution

Appliquer le correctif de Sybase (voir tableau sur le lien suivant) : 

http://www.sybase.com/detail?id=1036742

Documentation

Bulletin de sécurité Sybase: 

http://www.sybase.com/detail?id=1036742

Gestion détaillée du document

    le 18 juillet 2005
    version initiale.