CERT-FI haavoittuvuustiedote 008/2006

23.1.2006

Haavoittuvuus Computer Associatesin ohjelmistoissa

Kohde:	- palvelimet ja palvelinsovellukset	Lisätietoja
Hyökkäystapa:	- ilman kirjautumista - etäkäyttö - ilman käyttäjän toimia	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen - palvelunestohyökkäys	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

CA:n (Computer Associates) ohjelmistotuotteissa käytössä olevasta iGateway-komponentista on löydetty puskuriylivuotohaavoittuvuus. iGateway-komponentti sisältyy useisiin CA:n tuotteisiin erilaisille käyttöjärjestelmäympäristöille.

Haavoittuvuutta hyväksikäyttämällä hyökkääjän voi olla mahdollista suorittaa Windows-käyttöjärjestelmäympäristössä omia komentojaan SYSTEM-oikeuksin. UNIX- ja Linux-käyttöjärjestelmäympäristöissä hyökkääjän voi olla mahdollista aiheuttaa virhetilanne iGateway-komponentille.

HAAVOITTUVAT OHJELMISTOT:

• Lukuisat Computer Associatesin valmistamat tuotteet, joissa on vanhempi iGateway komponentti kuin versio 4.0.051230

Haavoittuvia ovat ohjelmistoversiot AIX, HP-UX, Linux Intel, Solaris ja Windows -käyttöjärjestelmäympäristöille.

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuva ohjelmisto osoitteesta:

ftp://ftp.ca.com/pub/iTech/downloads

tai osoitteesta:

http://supportconnect.ca.com/

LISÄTIETOA:

http://www.idefense.com/intelligence/vulnerabilities/display.php?id=376

http://supportconnectw.ca.com/public/ca_common_docs/igatewaysecurity_notice.asp

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2005-3653

PÄIVITYSHISTORIA:

23.01.2006: Julkaistu

Sivua päivitetty 11.03.2007

Tulostusversio