Avis du CERT-FR

Json

Objet : Vulnérabilité du contrôle ActiveX IBM eGatherer

Gestion du document

Référence	CERTA-2006-AVI-364
Titre	Vulnérabilité du contrôle ActiveX IBM eGatherer
Date de la première version	18 août 2006
Date de la dernière version	18 août 2006
Source(s)	Bulletin de sécurité eEye AD20060816 du 16 août 2006

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Exécution de code arbitraire à distance

Systèmes affectés

Systèmes avec le contrôle ActiveX IBM eGatherer en version antérieure à 3.20.0284.0.

Ce contrôle ActiveX est théoriquement installé par défaut sur les postes de travail et les portables IBM.

Description

Le contrôle ActiveX IBM eGatherer est utilisé pour détecter automatiquement des pilotes et des mises à jour sur le site d'IBM en collectant des informations sur le système (type de machine, modèle, numéro de série, etc).

Une vulnérabilité dans le contrôle ActiveX IBM eGatherer permet l'exécution de code arbitraire à distance par l'intermédiaire d'une page web malveillante.

Contournement provisoire

Désactiver les contrôles ActiveX.

Solution

Mettre à jour le contrôle ActiveX en version 3.20.0284.0 (voir Documentation). Ce contrôle ActiveX peut s'être mis à jour automatiquement.

Documentation

Bulletin de sécurité eEye AD20060816 du 16 août 2006
http://www.eeye.com/html/research/advisories/AD20060816.html
Téléchargement de IBM eGatherer version 3.20.0284.0 :
http://www-307.ibm.com/pc/support/IbmEgath.cab

Gestion détaillée du document

Date	Description
18 août 2006	version initiale.