Viestintäviraston CERT-FI -tietoturvallisuusyksikkö varoittaa Lotus Notes-ja Lotus Domino -ohjelmistoista löytyneistä haavoittuvuuksista, joiden kautta tunkeutuja saa muun muassa järjestelmän haltuunsa.
Lotus-ohjelmistot muodostavat yhdessä erityisesti yrityskäytössä suositun paketin: Domino on sovellus-palvelinohjelmisto ja Notes web-pohjainen muun muassa viestien hallintaan tarkoitettu palvelinohjelmisto.
Ohjelmistoista on löydetty seuraavat haavoittuvuudet:
1) Puskuriylivuotohaavoittuvuus käyttäjän todentamisessa. Ylivuoto tapahtuu asiakkaan lähettäessä palvelimelle tietyntyyppisen DN (distingguished name) -tunnisteen. Haavoittuvuutta hyväksikäyttämällä hyökkääjä, jolla ei ole järjestelmään oikeuksia, voi mahdollisesti suorittaa kohdejärjestelmässä omia komentojaan.
- Tälle haavoittuvuudelle ovat alttiita ainakin seuraavat Lotus Notes ohjelmistoversiot: versiot R4, kaikki R5 versiot versioon R5.0.11 saakka sekä R6 beta ja pre-release -versiot.
2) Lotus Notes/Domino ohjelmistossa on ominaisuus, mikä mahdollistaa WWW:n käytön Notes järjestelmän kautta. Ominaisuudessa olevan haavoittuvuuden vuoksi ylipitkä HTTP -status rivi aiheuttaa ohjelmiston kaatumisen. Haavoittuvuutta hyväksikäyttämällä voidaan mahdollisesti kohdistaa järjestelmään palvelunestohyökkäys.
- Haavoittuvuudelle ovat alttiita ainakin seuraavat versiot: Lotus Notes/Domino versio R4.5, R4.6, R5 (pois lukien R5.0.12) sekä R6 beta (pre-gold) -versio.
3) Haavoittuvuus Lotus Notes/Domino -ohjelmiston LDAP-protokollatoteutuksessa. Haavoittuvuutta hyväksikäyttämällä hyökkääjä voi suorittaa järjestelmässä omia komentojaan tai kohdistaa siihen palvelunestohyökkäyksen.
- Haavoittuvuudelle ovat alttiita Lotus Notes/Domino R6 pre-release ja beta -versiot sekä Lotus Domino versio R5.0.7 ja sitä aikaisemmat versiot.
Ratkaisu : Päivitä haavoittuvat ohjelmistot valmistajan ohjeiden mukaisesti.