Avis du CERT-FR
Objet : Vulnérabilité du serveur TFTP des équipements Cisco
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à l'intégrité des données
- Atteinte à la confidentialité des données
- Contournement de la politique de sécurité
Systèmes affectés
- Cisco Security Manager (CSM) 3.x ;
- Cisco TelePresence Readiness Assessment Manager (CTRAM) 1.x ;
- Cisco Unified Operations Manager (CUOM) 1.x ;
- Cisco Unified Operations Manager (CUOM) 2.x ;
- Cisco Unified Provisioning Manager 1.x ;
- Cisco Unified Service Monitor (CUSM) 1.x ;
- Cisco Unified Service Monitor (CUSM) 2.x ;
- CiscoWorks Common Services Software 3.x ;
- CiscoWorks Health and Utilization Monitor 1.x ;
- CiscoWorks LAN Management Solution (LMS) 2.x ;
- CiscoWorks LAN Management Solution (LMS) 3.x ;
- CiscoWorks QoS Policy Manager (QPM) 4.x ;
- CiscoWorks Voice Manager 3.x.
Résumé
Une vulnérabilité présente dans le serveur TFTP de certains équipements Cisco permet à un utilisateur distant malintentionné de contourner la politique de sécurité et de porter atteinte à la confidentialité ou à l'intégrité des données.
Description
Un manque de contrôle dans les entrées passées au serveur TFTP de certains produits Cisco permet à un utilisateur distant de déposer ou de récupérer des fichiers en dehors de la racine de ce serveur. Ce faisant, il peut accéder à la configuration de l'équipement ou modifier cette dernière.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletins de sécurité Cisco #110143 et #110288
http://www.cisco.com/warp/public/707/cisco-amb-20090520-cw.shtml
Gestion détaillée du document
| Date | Description |
|---|---|
| 26 mai 2009 | version initiale. |