De multiples vulnérabilités dans HP ProCurve

Numéro : AV10-028
Date : 6 août 2010

Objet

L'objet du présent avis est d'attirer votre attention sur de multiples vulnérabilités dans les commutateurs HP ProCurve 1800, 2610, 2650 et 2626.

Évaluation

De multiples vulnérabilités ont été détectées dans plusieurs versions des commutateurs HP ProCurve. Les différentes méthodes d'exploitation possibles comprennent l'envoi par un utilisateur éloigné de données spécialement conçues par l'intermédiaire de DHCP ou d'une requête spécialement conçue par l'intermédiaire de SNMP. Un utilisateur éloigné pourrait aussi exploiter une faille non spécifiée dans In-band Agent. Ces vulnérabilités permettraient à un utilisateur éloigné d'accéder au système cible, de causer une panne du service cible, de causer un déni de service ou d'obtenir des renseignements potentiellement sensibles. Le score CVSS attribué à ces vulnérabilités est de moyen à élevé.

Références CVE : CVE-2010-2707, CVE-2010-2708, CVE-2010-2706, CVE-2010-2705

Références de HP : Rapports de problème HP PR 15972, 11503, 18756, 3791

Les mises à jour des logiciels des commutateurs sont disponibles à l'adresse suivante :
http://www.procurve.com/customercare/support/software/switches.htm

Produits touchés

• Commutateur HP ProCurve 1800-24G (J9028A/B) version logicielle PB.03.02 ou antérieure Commutateur HP
• roCurve 1800-8G (J9029A) version logicielle PA.03.02 ou antérieure

* Les versions antérieures à R.11.22 sur les modèles suivants sont touchées :

• Commutateur ProCurve 2610-24 (J9085A)
• Commutateur ProCurve 2610-48 (J9088A)
• Commutateur ProCurve 2610-24/12PWR (J9086A)
• Commutateur ProCurve 2610-24-PWR (J9087A)
• Commutateur ProCurve 2610-48-PWR (J9089A)

* Les versions antérieures à R.11.30 sur les appareils suivants sont touchées :

• Commutateur ProCurve 2610-24 (J9085A)
• Commutateur ProCurve 2610-48 (J9088A)
• Commutateur ProCurve 2610-24/12PWR (J9086A)
• Commutateur ProCurve 2610-24-PWR (J9087A)
• Commutateur ProCurve 2610-48-PWR (J9089A)

* Les versions antérieures à H.10.80 sur les modèles suivants sont touchées :

• Commutateur ProCurve 2650-PWR (J8165A)
• Commutateur ProCurve 2650 (J4899A, J4899B, J4899C)
• Commutateur ProCurve 2626-PWR (J8164A)
• Commutateur ProCurve 2626 (J4900A, J4900B, J4900C)

Références (en anglais seulement) : 
http://h20000.www2.hp.com/bizsupport/TechSupport/Document.jsp?objectID=c02436047
http://h20000.www2.hp.com/bizsupport/TechSupport/Document.jsp?objectID=c02436045
http://h20000.www2.hp.com/bizsupport/TechSupport/Document.jsp?objectID=c02436043
http://h20000.www2.hp.com/bizsupport/TechSupport/Document.jsp?objectID=c02436028

Mesure suggérée

Le CCRIC recommande que les organisations communiquent avec les administrateurs ou les responsables des produits touchés afin d'évaluer les risques et d'appliquer au besoin les mises à jour ou les solutions de rechange du fournisseur.

Note aux lecteurs

Le Centre canadien de réponse aux incidents cybernétiques (CCRIC) constitue le point de convergence au Canada pour les avertissements et l'analyse concernant les menaces et les vulnérabilités cybernétiques, ainsi que pour la coordination de la réponse aux incidents. Le CCRIC est chargé d'assurer la résilience de l'infrastructure essentielle nationale en surveillant les menaces et en coordonnant la réponse du gouvernement fédéral aux incidents de cybersécurité d'intérêt national. Le CCRIC, qui travaille conjointement avec le Centre des opérations du gouvernement (COG) de Sécurité publique Canada, constitue un élément clé de l'approche « tous risques » du gouvernement en regard de la gestion des urgences et de la sécurité nationale.

Pour obtenir des renseignements généraux, veuillez communiquer avec la division des Affaires publiques de Sécurité publique Canada:

Téléphone: 613-944-4875 ou 1-800-830-3118
Télécopieur: 613-998-9589
Courriel: communications@ps-sp.gc.ca