Avis du CERT-FR
Objet : Multiples vulnérabilités dans CISCO ACS UCP
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à la confidentialité des données
- Exécution de code arbitraire à distance
- Injection de code indirecte
Systèmes affectés
- Les versions antérieures à la 4.2.
Résumé
Plusieurs vulnérabilités ont été corrigées dans le module UCP (User Changeable Password).
Description
Le Module UCP est un CGI permettant aux utilisateurs de CISCO ACS (Access Control Server) de changer leur mot de passe via une page web. Des vulnérabilités de type dépassement de mémoire et injection de code indirecte ont été corrigées.
Solution
Se référer au bulletin de sécurité de CISCO 100519 du 14 mars 2008 pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité Cisco 20080312-ucp du 14 mars 2008 :
http://www.cisco.com/warp/public/707/cisco-sa-20080312-ucp.shtml -
Référence CVE CVE-2008-0532
https://www.cve.org/CVERecord?id=CVE-2008-0532 -
Référence CVE CVE-2008-0533
https://www.cve.org/CVERecord?id=CVE-2008-0533
Gestion détaillée du document
| Date | Description |
|---|---|
| 17 mars 2008 | version initiale. |