CERT-FI haavoittuvuustiedote 016/2003

13.3.2003

Haavoittuvuuksia Lotus Notes / Domino ohjelmistoissa


Kohde:	- palvelimet ja palvelinsovellukset	Lisätietoja
Hyökkäystapa:	- etäkäyttö	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen - palvelunestohyökkäys	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Lotus Notes ja Lotus Domino muodostavat yhdessä erityisesti yrityskäytössä suositun ohjelmiston. Lotus Domino on sovellus-palvelinohjelmisto ja Notes web-pohjainen muun muassa viestien hallintaan tarkoitettu palvelinohjelmisto. Lotus Notes / Domino ohjelmistoista on löydetty seuraavat haavoittuvuudet:

Puskuriylivuotohaavoittuvuus käyttäjän todentamisessa. Ylivuoto tapahtuu asiakkaan lähettäessä palvelimelle tietyntyyppisen DN (distinguished name) -tunnisteen. Haavoittuvuutta hyväksikäyttämällä hyökkääjä, jolla ei ole järjestelmään oikeuksia, voi mahdollisesti suorittaa kohdejärjestelmässä omia komentojaan.
Lotus Notes/Domino ohjelmistossa on ominaisuus, mikä mahdollistaa WWW:n käytön Notes järjestelmän kautta. Ominaisuudessa olevan haavoittuvuuden vuoksi ylipitkä HTTP -status rivi aiheuttaa ohjelmiston kaatumisen. Haavoittuvuutta hyväksikäyttämällä voidaan mahdollisesti kohdistaa järjestelmään palvelunestohyökkäys.
Haavoittuvuus Lotus Notes/Domino -ohjelmiston LDAP-protokollatoteutuksessa. Haavoittuvuutta hyväksikäyttämällä hyökkääjä voi suorittaa järjestelmässä omia komentojaan tai kohdistaa siihen palvelunestohyökkäyksen.

HAAVOITTUVAT OHJELMISTOT:

Ensin mainitulle haavoittuvuudelle ovat alttiita ainakin seuraavat Lotus Notes ohjelmistoversiot: versiot R4, kaikki R5 versiot versioon R5.0.11 saakka sekä R6 beta ja pre-release -versiot.

Toiseksi mainitulle haavoittuvuudelle ovat alttiita ainakin seuraavat versiot: Lotus Notes/Domino versio R4.5, R4.6, R5 (pois lukien R5.0.12) sekä R6 beta (pre-gold) -versio.

Viimeksi mainitulle haavoittuvuudelle ovat alttiita Lotus Notes/Domino R6 pre-release ja beta -versiot sekä Lotus Domino versio R5.0.7 ja sitä aikaisemmat versiot.