IBM Lotus Notes bis 8.5 RSS Widget Feed Cross Site Scripting

VulDB: IBM Lotus Notes bis 8.5 RSS Widget Feed Cross Site Scripting

Allgemein

IBM

scipID: 4021
Betroffen: IBM Lotus Notes bis 8.5
Veröffentlicht: 08.09.2009 (Marc Ruef)
Risiko: kritisch
Eintrag: 100% komplett
Erstellt: 08.09.2009
Aktualisiert: 03.09.2012

Beschreibung

Lotus Notes ist ein System für das Management und die Verarbeitung auch wenig strukturierter Informationen in elektronischer Form für einen heterogenen Anwenderkreis. Marc Ruef der scip AG fand einen Designfehler in Lotus Notes 8.5. Das für das Einlesen von RSS-Feeds dargebotene Widget weist eine kritische Schwachstelle auf. Der Inhalt des RSS-Feeds wird heruntergeladen und die einzelnen Items lokal abgespeichert. Für die Anzeige derer wird der Internet Explorer verwendet. Dieser benutzt hierfür die Rechte der Lokalen Zone, wodurch erweiterte Rechte erlangt werden könnten. So lassen sich damit durch einen korrupten RSS-Feed eingebettete Scripte ausführen oder Objekte einbetten. Der Hersteller wurde frühzeitig über das Problem informiert und hat mit einem Hotfix reagiert. In der im Oktober 2009 erscheinenden Version 8.5.1 wird das Problem ebenfalls behoben sein. Mitunter wird der Fehler auch in den Datenbanken von OSVDB (57935), Secunia (SA36813) und SecurityFocus (BID 36305) dokumentiert. Auf Deutsch berichtet mitunter Heise zum Fall.

Fehler wie diese sind auf das Fehlen einer durchdachten Software-Architektur zurückzuführen. Die Entwickler haben es versäumt, die Tragweite ihrer Design-Entscheidung zu berücksichtigen. Durch die Verkettung dieser unglücklichen Umstände wird es damit möglich, einen Angriff auf den RSS-Reader umzusetzen.

Screenshot

IBM Lotus Notes bis 8.5 RSS Widget Feed Cross Site Scripting

CVSS

Base Score: 6.0 (CVSS2#AV:N/AC:M/Au:S/C:P/I:P/A:P) [?]

Access Vector	Access Complexity	Authentication	Confidentiality	Integrity	Availability
Local	High	Multiple	None	None	None
Adjacent	Medium	Single	Partial	Partial	Partial
Network	Low	None	Complete	Complete	Complete

Exploiting

Klasse: Cross Site Scripting
Auswirkungen: erweiterte Rechte erlangen
Lokal: Nein
Remote: Ja

Verfügbarkeit: Ja
Zugang: Privat
Status: Proof-of-Concept
Zuverlässigkeit: 100%
Programmiersprache: HTML/Javascript
Autor: Marc Ruef

Gegenmassnahmen

Empfehlung: Upgrade
0-Day Time: 0 Tage seit gefunden
Exploit Delay Time: 0 Tage seit bekannt

Upgrade: Lotus Notes 8.5.1
Alternative: Mozilla Thunderbird

Timeline

Quellen

Advisory: seclists.org
Person: Marc Ruef
Firma: scip AG
Koordiniert: Ja
Bestätigung: www-01.ibm.com

OSVDB: 57935
CVE: CVE-2009-3114 (mitre.org) (nist.org) (cvedetails.com)
Secunia: 36813
SecurityFocus: 36305

Heise: 145554
Diverses: securityreason.com

Schwachstellen Übersicht