BlackBerry Desktop Manager ActiveX控件远程代码执行漏洞

作者：绿盟科技 来源：绿盟科技

发布日期：2009-11-03
更新日期：2009-11-04

受影响系统：
Research In Motion Blackberry Desktop Manager 5.0
Research In Motion Blackberry Desktop Manager 4.7
Research In Motion Blackberry Desktop Manager 4.2.2
不受影响系统：
Research In Motion Blackberry Desktop Manager 5.0.1
描述：
BUGTRAQ  ID: 36903
CVE ID: CVE-2009-0306

Blackberry Desktop Manager，也称黑莓桌面管理器，是用于管理和同步黑莓手机的软件。

BlackBerry Desktop Manager使用了Lotus Notes Intellisync DLL库（lnresobject.dll），而该库没有正确地验证用户所提供的输入参数。如果用户受骗访问了恶意网页就可能导致在用户机器上执行任意代码。

<*来源：OYXin （OYXin@ph4nt0m.net）
  
  链接：http://www.blackberry.com/btsc/search.do?cmd=displayKC&docType=kc&externalId=KB19701
        http://secunia.com/advisories/37244/
*>

建议：
临时解决方法：

* 通过注销lnresobject.dll禁用Lotus Notes Intellisync功能，在命令行输入以下命令：

regsvr32 /u "C:\Program Files\Research In Motion\BlackBerry\IS71 Connectors\Lotus Notes5.0\lnsresobject.dll"

厂商补丁：

Research In Motion
------------------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

https://www.blackberry.com/Downloads/entry.do?code=A8BAA56554F96369AB93E4F3BB068C22

分享到