CERTA-2007-AVI-461

Vulnerability from certfr_avis - Published: 2007-10-29 - Updated: 2007-10-29

De multiples vulnérabilités dans Lotus Domino permettent à une personne malintentionnée d'exécuter du code arbitraire à distance ou de porter atteinte à la confidentialité des données.

Description

Quatre vulnérabilités ont été identifiées dans Lotus Domino :

  • la première faille est un débordement de mémoire dans le module IMAP de Domino qui permet à une personne malintentionnée d'exécuter du code arbitraire à distance avec les privilèges du serveur ;
  • la deuxième vulnérabilité est une erreur dans la méthode Evaluate de LotusScript qui peut provoquer la divulgation de données confidentielles ;
  • la troisième vulnérabilité concerne un manque de restrictions dans les zones de mémoire partagée, ce qui peut permettre à un utilisateur local d'accéder aux données d'autres utilisateurs locaux ;
  • la dernière faille concerne certaines commandes relatives à l'autorité de certification (activate et unlock) et peut résulter en l'affichage du mot de passe utilisé en clair.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation). Les versions 7.0.3 et 8.0 de Lotus Domino corrigent toutes les failles. Deux vulnérabilités ne sont pas corrigées dans les versions 6.x.

None
Impacted products
Vendor Product Description
N/A N/A IBM Lotus Domino 7.x ;
N/A N/A IBM Lotus Domino 6.x ;
References

Show details on source website
To clipboard 

{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [
    {
      "description": "IBM Lotus Domino 7.x ;",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "N/A",
          "scada": false
        }
      }
    },
    {
      "description": "IBM Lotus Domino 6.x ;",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "N/A",
          "scada": false
        }
      }
    }
  ],
  "affected_systems_content": null,
  "content": "## Description\n\nQuatre vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 identifi\u00e9es dans Lotus Domino :\n\n-   la premi\u00e8re faille est un d\u00e9bordement de m\u00e9moire dans le module IMAP\n    de Domino qui permet \u00e0 une personne malintentionn\u00e9e d\u0027ex\u00e9cuter du\n    code arbitraire \u00e0 distance avec les privil\u00e8ges du serveur ;\n-   la deuxi\u00e8me vuln\u00e9rabilit\u00e9 est une erreur dans la m\u00e9thode Evaluate de\n    LotusScript qui peut provoquer la divulgation de donn\u00e9es\n    confidentielles ;\n-   la troisi\u00e8me vuln\u00e9rabilit\u00e9 concerne un manque de restrictions dans\n    les zones de m\u00e9moire partag\u00e9e, ce qui peut permettre \u00e0 un\n    utilisateur local d\u0027acc\u00e9der aux donn\u00e9es d\u0027autres utilisateurs locaux\n    ;\n-   la derni\u00e8re faille concerne certaines commandes relatives \u00e0\n    l\u0027autorit\u00e9 de certification (activate et unlock) et peut r\u00e9sulter en\n    l\u0027affichage du mot de passe utilis\u00e9 en clair.\n\n## Solution\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l\u0027\u00e9diteur pour l\u0027obtention des\ncorrectifs (cf. section Documentation). Les versions 7.0.3 et 8.0 de\nLotus Domino corrigent toutes les failles. Deux vuln\u00e9rabilit\u00e9s ne sont\npas corrig\u00e9es dans les versions 6.x.\n",
  "cves": [
    {
      "name": "CVE-2007-3510",
      "url": "https://www.cve.org/CVERecord?id=CVE-2007-3510"
    }
  ],
  "initial_release_date": "2007-10-29T00:00:00",
  "last_revision_date": "2007-10-29T00:00:00",
  "links": [
    {
      "title": "Bulletin de s\u00e9curit\u00e9 IBM swg21261095 du 23 octobre 2007 :",
      "url": "http://www-1.ibm.com/support/docview.wss?uid=swg21261095"
    },
    {
      "title": "Bulletin de s\u00e9curit\u00e9 IBM swg21273266 du 24 octobre 2007 :",
      "url": "http://www-1.ibm.com/support/docview.wss?uid=swg21273266"
    },
    {
      "title": "Bulletin de s\u00e9curit\u00e9 IBM swg21270623 du 23 octobre 2007 :",
      "url": "http://www-1.ibm.com/support/docview.wss?uid=swg21270623"
    },
    {
      "title": "Bulletin de s\u00e9curit\u00e9 IBM swg21257030 du 23 octobre 2007 :",
      "url": "http://www-1.ibm.com/support/docview.wss?uid=swg21257030"
    }
  ],
  "reference": "CERTA-2007-AVI-461",
  "revisions": [
    {
      "description": "version initiale.",
      "revision_date": "2007-10-29T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Ex\u00e9cution de code arbitraire \u00e0 distance"
    },
    {
      "description": "Atteinte \u00e0 la confidentialit\u00e9 des donn\u00e9es"
    }
  ],
  "summary": "De multiples vuln\u00e9rabilit\u00e9s dans Lotus Domino permettent \u00e0 une personne\nmalintentionn\u00e9e d\u0027ex\u00e9cuter du code arbitraire \u00e0 distance ou de porter\natteinte \u00e0 la confidentialit\u00e9 des donn\u00e9es.\n",
  "title": "Multiples vuln\u00e9rabilit\u00e9s dans IBM Lotus Domino",
  "vendor_advisories": [
    {
      "published_at": null,
      "title": "Bulletins de s\u00e9curit\u00e9 IBM",
      "url": null
    }
  ]
}


Log in or create an account to share your comment.




Tags
Taxonomy of the tags.




Sightings

Author Source Type Date

Nomenclature

  • Seen: The vulnerability was mentioned, discussed, or observed by the user.
  • Confirmed: The vulnerability has been validated from an analyst's perspective.
  • Published Proof of Concept: A public proof of concept is available for this vulnerability.
  • Exploited: The vulnerability was observed as exploited by the user who reported the sighting.
  • Patched: The vulnerability was observed as successfully patched by the user who reported the sighting.
  • Not exploited: The vulnerability was not observed as exploited by the user who reported the sighting.
  • Not confirmed: The user expressed doubt about the validity of the vulnerability.
  • Not patched: The vulnerability was not observed as successfully patched by the user who reported the sighting.



Detection rules are retrieved from Rulezet.