S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 18 août 2006 No CERTA-2006-AVI-364

Affaire suivie par :

CERTA

Objet : Vulnérabilité du contrôle ActiveX IBM eGatherer

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire à distance.

2 Systèmes affectés

Systèmes avec le contrôle ActiveX IBM eGatherer en version antérieure à 3.20.0284.0.

Ce contrôle ActiveX est théoriquement installé par défaut sur les postes de travail et les portables IBM.

3 Description

Le contrôle ActiveX IBM eGatherer est utilisé pour détecter automatiquement des pilotes et des mises à jour sur le site d'IBM en collectant des informations sur le système (type de machine, modèle, numéro de série, etc).

Une vulnérabilité dans le contrôle ActiveX IBM eGatherer permet l'exécution de code arbitraire à distance par l'intermédiaire d'une page web malveillante.

4 Contournement provisoire

Désactiver les contrôles ActiveX.

5 Solution

Mettre à jour le contrôle ActiveX en version 3.20.0284.0 (voir Documentation). Ce contrôle ActiveX peut s'être mis à jour automatiquement.

6 Documentation

• Téléchargement de IBM eGatherer version 3.20.0284.0 :

  http://www-307.ibm.com/pc/support/IbmEgath.cab
  

• Bulletin de sécurité eEye AD20060816 du 16 août 2006 :

  http://www.eeye.com/html/research/advisories/AD20060816.html
  

Gestion détaillée du document

18 août 2006

version initiale.