Vulnérabilités multiples dans Cisco Application Control Engine
Numéro : AV10-031
Date : 12 août 2010
Objet
Cet avis a pour objet d'attirer votre attention sur plusieurs vulnérabilités touchant le module Cisco Application Control Engine et le Application Control Engine ACE 4710.
Évaluation
De nombreuses vulnérabilités ont été relevées dans le module Cisco Application Control Engine et dans Cisco Application Control Engine ACE 4710. En transmettant des paquets spécialement conçus, un attaquant peut entraîner le redémarrage de l’appareil ciblé. L’exploitation répétée de ces vulnérabilités peut mener à une attaque par déni de service.
Les produits touchés inspectent divers protocoles; les vulnérabilités se cachent dans les codes d’inspection des protocoles indiqués ci-dessous. Seuls les paquets en transit peuvent entraîner l’exploitation de ces vulnérabilités.
*Real-Time Streaming Protocol (RTSP)
*HTTP, RTSP et Session Initiation Protocol (SIP)
Le module ACE (Application Control Engine) renferme aussi une vulnérabilité dans son traitement des communications SSL (Secure Socket Layer). Cette vulnérabilité ne peut être exploitée que par des paquets envoyés directement au dispositif.
On a attribué à ces vulnérabilités les codes CVE suivants :
CVE-2010-2822, CVE-2010-2823, CVE-2010-2824, CVE-2010-2825
Cisco a attribué à ces vulnérabilités les codes de bogue suivants :
CSCta85227, CSCtg14858, CSCtb54493, CSCta20756, CSCta65603, CSCta71569
Cisco a diffusé des correctifs et publié des méthodes de contournement afin de régler les problèmes entraînés par ces vulnérabilités. Vous trouverez les liens pertinents dans la section Références du présent avis.
Produits touchés
----------------
Module Cisco Application Control Engine, versions antérieures à A2(3.2) Cisco ACE 4710 Application Control Engine, versions antérieures à A3(2.6)
Références
----------
http://www.cisco.com/warp/public/707/cisco-sa-20100811-ace.shtml
http://securitytracker.com/alerts/2010/Aug/1024322.html
Pour télécharger le logiciel du dispositif Cisco ACE 4710 Application Control Engine, consultez la page Web suivante :
http://tools.cisco.com/support/downloads/go/Redirect.x?mdfid=281222179
Pour télécharger le logiciel du module Cisco ACE, consultez la page Web suivante :
http://tools.cisco.com/support/downloads/go/Redirect.x?mdfid=280557289
Mesure suggérée
Le CCRIC recommande aux organismes d'entrer en contact avec les administrateurs ou les responsables des produits touchés afin d'évaluer leur vulnérabilité et d’appliquer les correctifs ou mesures de contournement appropriés recommandés par le fabricant.
Note aux lecteurs
Le Centre canadien de réponse aux incidents cybernétiques (CCRIC) constitue le point de convergence au Canada pour les avertissements et l'analyse concernant les menaces et les vulnérabilités cybernétiques, ainsi que pour la coordination de la réponse aux incidents. Le CCRIC est chargé d'assurer la résilience de l'infrastructure essentielle nationale en surveillant les menaces et en coordonnant la réponse du gouvernement fédéral aux incidents de cybersécurité d'intérêt national. Le CCRIC, qui travaille conjointement avec le Centre des opérations du gouvernement (COG) de Sécurité publique Canada, constitue un élément clé de l'approche « tous risques » du gouvernement en regard de la gestion des urgences et de la sécurité nationale.
Pour obtenir des renseignements généraux, veuillez communiquer avec la division des Affaires publiques de Sécurité publique Canada:
Téléphone: 613-944-4875 ou 1-800-830-3118
Télécopieur: 613-998-9589
Courriel: communications@ps-sp.gc.ca