S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 26 mars 2007
N° CERTA-2007-AVI-137-001
Affaire suivie par: CERT-FR
le 26 mars 2007

Avis du CERT-FR

Objet: Vulnérabilité de Zope

Gestion du document

Référence CERTA-2007-AVI-137-001
Titre Vulnérabilité de Zope
Date de la première version 26 mars 2007
Date de la dernière version 27 mars 2007
Source(s) Bulletin de sécurite Zope du 20 mars 2007
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Élévation de privilèges.

Systèmes affectés

Logiciel Zope, jusqu'à la version 2.10.2.

Résumé

Une vulnérabilité de Zope de type cross-site scripting permet à un utilisateur malintentionné d'élever ses privilèges.

Description

Le logiciel Zope est un logiciel libre de développement de gestionnaires de contenu (CMS) et de portails.

Une vulnérabilité de type cross-site scripting permet à un utilisateur malveillant de modifier les paramètres de sécurité et/ou des comptes d'utilisateur. Cette vulnérabilité permet une élévation de privilèges.

Solution

Appliquer le correctif Hotfix-20070320. Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Noter que les versions 2.7 et antérieures ne sont plus maintenues. Le correctif n'a pas été testé pour ces versions.

Documentation

Gestion détaillée du document

    le 26 mars 2007
    version initiale.
    le 27 mars 2007
    correction de la version affectée.