{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [
    {
      "description": "Microsoft BizTalk Server 2000 ;",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "Microsoft",
          "scada": false
        }
      }
    },
    {
      "description": "Microsoft BizTalk Server 2002.",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "Microsoft",
          "scada": false
        }
      }
    }
  ],
  "affected_systems_content": null,
  "content": "## Description\n\nMicrosoft BizTalk Server est un produit destin\u00e9 aux entreprises qui\nsouhaitent int\u00e9grer diverses applications et partenaires dans leur\ntraitement d\u0027informations.\n\nDeux vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 d\u00e9couvertes sur ce produit.  \n\nLa premi\u00e8re vuln\u00e9rabilit\u00e9 ne concerne que la version Microsoft BizTalk\nServer 2002. Il est possible d\u0027\u00e9changer avec BizTalk Server 2002 des\ndocuments au format HTML. Une vuln\u00e9rabilit\u00e9 de type d\u00e9bordement de\nm\u00e9moire a \u00e9t\u00e9 d\u00e9couverte dans le composant charg\u00e9 de recevoir les\ndocuments HTTP, et permet \u00e0 un utilisateur mal intentionn\u00e9 d\u0027ex\u00e9cuter du\ncode arbitraire sur le serveur BizTalk.\n\nLe transfert de documents au format HTTP n\u0027est pas mis en place par\nd\u00e9faut, et doit \u00eatre explicitement demand\u00e9 durant l\u0027installation. De\nplus, le code sera ex\u00e9cut\u00e9 avec les droits du serveur IIS. Si ce dernier\nest install\u00e9 sous un compte d\u0027utilisateur, les permissions seront\nlimit\u00e9es \u00e0 celle de l\u0027utilisateur.  \n\nLa deuxi\u00e8me vuln\u00e9rabilit\u00e9 concerne les versions 2000 et 2002 du serveur\nBizTalk. BizTalk Server permet aux administrateurs d\u0027organiser des\ndocuments via une interface web (DTA - Document Tracking and\nAdministration). Dans certaines pages de cette interface, il est\npossible d\u0027injecter du code SQL qui sera ex\u00e9cut\u00e9 sur le serveur.\n\nLes utilisateurs par d\u00e9faut de l\u0027interface DTA ne sont pas des\nutilisateurs SQL privil\u00e9gi\u00e9s. En effet, pour pouvoir utiliser cette\ninterface, il suffit \u00e0 un utilisateur de faire partie du groupe BizTalk\nServer Report Users.\n\n## Solution\n\nAppliquer le correctif fourni par Microsoft (cf. section Documentation).\n",
  "cves": [],
  "links": [],
  "reference": "CERTA-2003-AVI-083",
  "revisions": [
    {
      "description": "version initiale.",
      "revision_date": "2003-05-12T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Injection de code SQL"
    },
    {
      "description": "Ex\u00e9cution de code arbitraire"
    }
  ],
  "summary": "Deux vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 d\u00e9couvertes dans le serveur Microsoft\nBizTalk.\n",
  "title": "Vuln\u00e9rabilit\u00e9s du serveur Microsoft BizTalk",
  "vendor_advisories": [
    {
      "published_at": null,
      "title": "Avis de s\u00e9curit\u00e9 Microsoft MS03-016",
      "url": "http://www.microsoft.com/technet/security/bulletin/MS03-016.asp"
    }
  ]
}