Actu
CERTA : Multiples vulnérabilités dans IBM Lotus Domino
octobre 2007 par CERT-FR
1 Risque
* Exécution de code arbitraire à distance ;
* atteinte à la confidentialité des données.
2 Systèmes affectés
* IBM Lotus Domino 6.x ;
* IBM Lotus Domino 7.x ;
3 Résumé
De multiples vulnérabilités dans Lotus Domino permettent à une personne
malintentionnée d’exécuter du code arbitraire à distance ou de porter atteinte
à la confidentialité des données.
4 Description
Quatre vulnérabilités ont été identifiées dans Lotus Domino :
* la première faille est un débordement de mémoire dans le module IMAP de
Domino qui permet à une personne malintentionnée d’exécuter du code
arbitraire à distance avec les privilèges du serveur ;
* la deuxième vulnérabilité est une erreur dans la méthode Evaluate de
LotusScript qui peut provoquer la divulgation de données confidentielles ;
* la troisième vulnérabilité concerne un manque de restrictions dans les
zones de mémoire partagée, ce qui peut permettre à un utilisateur local
d’accéder aux données d’autres utilisateurs locaux ;
* la dernière faille concerne certaines commandes relatives à l’autorité de
certification (activate et unlock) et peut résulter en l’affichage du mot
de passe utilisé en clair.
5 Solution
Se référer au bulletin de sécurité de l’éditeur pour l’obtention des correctifs
(cf. section Documentation). Les versions 7.0.3 et 8.0 de Lotus Domino
corrigent toutes les failles. Deux vulnérabilités ne sont pas corrigées dans
les versions 6.x.
6 Documentation
* Bulletin de sécurité IBM swg21270623 du 23 octobre 2007 :
http://www-1.ibm.com/support/docview.wss?uid=swg21270623
* Bulletin de sécurité IBM swg21261095 du 23 octobre 2007 :
http://www-1.ibm.com/support/docview.wss?uid=swg21261095
* Bulletin de sécurité IBM swg21273266 du 24 octobre 2007 :
http://www-1.ibm.com/support/docview.wss?uid=swg21273266
* Bulletin de sécurité IBM swg21257030 du 23 octobre 2007 :
http://www-1.ibm.com/support/docview.wss?uid=swg21257030
* Référence CVE CVE-2007-3510 :
