S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 21 mai 2008 No CERTA-2008-AVI-257

Affaire suivie par :

CERTA

Objet : Multiples vulnérabilités dans IBM Lotus Domino Web Server

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Déni de service à distance ;
• injection de code indirecte.

2 Systèmes affectés

• Lotus Domino 6.x ;
• Lotus Domino 7.x ;
• Lotus Domino 8.x ;

3 Résumé

Deux vulnérabilités affectant Lotus Domino Web Server permettent à une personne malintentionnée d'effectuer une attaque de type injection de code indirecte (cross-site scripting) ou de réaliser un déni de service à distance.

4 Description

Deux vulnérabilités ont été identifiées dans Lotus Domino Web Server. La première permet à une personne malintentionnée d'effectuer une attaque de type injection de code indirecte. La deuxième, de type débordement de mémoire, permet à une personne malintentionnée de réaliser un déni de service à distance, voire éventuellement d'exécuter du code arbitraire à distance.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation). Seules les versions 7.x et 8.x de Lotus Domino sont corrigées pour le moment.

6 Documentation

• Bulletin de sécurité IBM swg21303057 du 20 mai 2008 :

  http://www-1.ibm.com/support/docview.wss?uid=swg21303057
  

• Bulletin de sécurité IBM swg21303296 du 20 mai 2008 :

  http://www-1.ibm.com/support/docview.wss?uid=swg21303296
  

• Référence CVE CVE-2008-2240 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-2240
  

Gestion détaillée du document

21 mai 2008

version initiale.