Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es
10/06/2016
Symantec ha publicado cuatro vulnerabilidades que afectan a los productos Symantec Embedded Security (SES:CSP), Symantec Critical System Protection (SCSP) y Symantec Data Center Security (DCS:SA)
Los servidores de administración se ven afectados por CVE-2015-8157 y podría permitir efectuar ataques de inyección SQL. El CVE-2015-8798 podría permitir a usuarios sin permisos específicos ejecutar código arbitrario (solo para versiones posteriores a 5.2.9).
La tercera vulnerabilidad, con CVE-2015-8799, podría permitir a un usuario instalar paquetes de actualización para ser ejecutados por el agente (solo para versiones posteriores a 5.2.9).
Sistemas Afectados:
Symantec Embedded Security: Critical System Protection (SES:CSP) 1.0.x
Symantec Embedded Security: Critical System Protection for Controllers and Devices (SES:CSP) 6.5.0
Symantec Critical System Protection (SCSP) 5.2.9 y anteriores
Symantec Data Center Security: Server Advanced Server (DCS:SA) 6.0.x
Symantec Data Center Security: Server Advanced Server (DCS:SA) 6.5.x
Symantec Data Center Security: Server Advanced Server (DCS:SA) 6.6
Symantec Data Center Security: Server Advanced Server and Agents (DCS:SA) 6.6 MP1
CVE-2015-8157, CVE-2015-8798, CVE-2015-8799, CVE-2015-8800
Solución:Symantec ha publicado actualizaciones para los productos afectados disponibles desde:
Para SES:CSP 1.0.x y 6.5.0 disponibles a través de Symantec File Connect.
https://symantec.flexnetoperations.com/
Para SES:CSP y SDCS:SA disponibles a través de TechNote INFO3743
http://www.symantec.com/docs/INFO3743
Notas:Security Advisories Relating to Symantec Products - Symantec Embedded Security: Critical System Protection and Symantec Data Center Security: Server Advanced, Multiple Security Issues