Actu
Vigil@nce : Zope, déni de service
août 2008 par Vigil@nce
SYNTHÈSE
Un attaquant distant peut exécuter une liste de tests ou bien
fermer l’instance de Zope dans le but de créer un déni de service.
Gravité : 3/4
Conséquences : déni de service du service
Provenance : client internet
Moyen d’attaque : aucun démonstrateur, aucune attaque
Compétence de l’attaquant : expert (4/4)
Confiance : confirmé par l’éditeur (5/5)
Diffusion de la configuration vulnérable : élevée (3/3)
Date création : 13/08/2008
Référence : VIGILANCE-VUL-8027
PRODUITS CONCERNÉS
– Zope [versions confidentielles]
DESCRIPTION
Le server Zope 2 permet l’édition de scripts en langage python.
Grâce à ce langage, il est possible :
– d’implémenter le module "test" afin d’exécuter une batterie de
test sur l’application : return ’foo’.encode(’test.testall’)
– d’exécuter une commande pour fermer l’instance de Zope en cours : raise SystemExit
Un attaquant distant peut donc exécuter une liste de tests ou bien
fermer l’instance de Zope dans le but de créer un déni de service.
CARACTÉRISTIQUES
Références : VIGILANCE-VUL-8027
