IBMs Lotus Notes und Lotus Domino absturzgefährdet

IBM weist auf mehrere Schwachstellen im Groupware-Server Lotus Domino und dem dazugehörigen Client Lotus Notes hin, durch die Angreifer den stabilen Betrieb gefährden können.

Lesezeit: 1 Min.
In Pocket speichern
vorlesen Druckansicht Kommentare lesen 272 Beiträge
Von
  • Daniel Bachfeld

IBM weist auf mehrere Schwachstellen im Groupware-Server Lotus Domino und dem dazugehörigen Client Lotus Notes hin, durch die Angreifer den stabilen Betrieb gefährden können. Bei der Auswertung manipulierter Zeit- oder Datenfelder kann ein Buffer Overflow auftreten, der den Server zum Stillstand bringt. Eine Format-String-Schwachstelle im NRPC-Protokoll kann während der Authentifizierung ebenfalls einen Absturz provozieren. Bei beiden Fehlern konnte nach Angaben des Herstellers nicht nachgewiesen werden, dass sich damit Code in ein System einschleusen und ausführen lässt. Gleiches gilt für einen Buffer Overflow im Lotus Notes Client, den bestimmte NOTES.INI-Dateien verursachen. Auch hier stürzt der Client nur ab.

Ein weiterer Fehler in der @SetHTTPHeader-Funktion des Servers ermöglicht es Angreifern unter Umständen, eigene Inhalte in Web-Caches zu injizieren. Die verwundbare Funktion ist allerdings nur für Anwendungsentwickler verfügbar und erfordert das Privileg, präparierte Anwendungen auf dem Server installieren zu können. Alle genannten Fehler lassen sich mit einen Update auf die Versionen 6.5.4 oder 6.0.5 beseitigen.

Zudem soll sich der Web-Server mit einem simpel präparierten GET-Request an das CGI-BIN-Verzeichnis aus dem Tritt bringen lassen. Der Sicherheitsdienstleister iDefense hat hierzu ein eigenes Advisory veröffentlicht. Allerdings konnte IBM das Problem bisher in eigenen Tests nicht nachvollziehen und hat deshalb auch keinen Patch herausgegeben. Betroffen sollen hier die Versionen 6.5.1 und 6.0.3 sein.

Siehe dazu auch: (dab)