Avis du CERT-FR
Objet : Deux vulnérabilités de Lotus Notes et Domino
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Déni de service
- Exécution de code arbitraire
Systèmes affectés
- Lotus Domino 6.0 versions alpha et beta.
- Lotus Notes et Domino versions 5.0.12, 6.0.1 et antérieures ;
Résumé
Deux vulnérabilités de Lotus Notes et Domino permettent à un utilisateur mal intentionné d'exécuter du code arbitraire ou de provoquer un déni de service.
Description
La première vulnérabilité concerne un débordement de mémoire dans le service COM Object Control Handler de Lotus Notes et Domino.
Cette vulnérabilité avait été annoncée comme une vulnérabilité de iNotes ActiveX, mais elle n'est pas spécifique à iNotes ou aux ActiveX. Elle peut notamment être présente sur des clients Notes ou des serveurs Domino installés sur d'autres plates-formes que Microsoft Windows.
Les systèmes affectés sont Lotus Notes et Domino versions 5.0.12, 6.0.1 et antérieures.
La deuxième vulnérabilité concerne le protocole LDAP. Les versions de Lotus Domino R5.0.7 et antérieures présentaient une vulnérabilité dans la gestion du protocole LDAP, qui avait été corrigée dans la version R5.0.7a.
Cette vulnérabilité est à nouveau présente dans les versions Lotus Notes et Domino R6 alpha et beta.
Solution
Appliquer le correctif pour la première vulnérabilité.
Les versions Lotus Domino et Notes R6.0 Gold et R6.0.1 corrigent la deuxième vulnérabilité.
Documentation
-
Avis CA-2003-11 du CERT/CC
http://www.cert.org/advisories/CA-2003-11.html -
Avis R7-0012 de Rapid7 (deuxième vulnérabilité) :
http://www.rapid7.com/advisories/R7-0012.html -
Avis de sécurité IBM (première vulnérabilité) :
http://www-1.ibm.com/support/docview.wss?uid=swg21104543 -
Avis de sécurité NGSSoftware Insight NISR17022003e (première vulnérabilité) :
http://www.nextgenss.com/advisories/lotus-inotesclientaxbo.txt
Gestion détaillée du document
| Date | Description |
|---|---|
| 28 mars 2003 | version initiale. |