IBM Lotus Notes bis 8.5 RSS Widget erweiterte Rechte

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
5.0$0-$5k0.00

Lotus Notes ist ein System für das Management und die Verarbeitung auch wenig strukturierter Informationen in elektronischer Form für einen heterogenen Anwenderkreis. Marc Ruef der scip AG fand einen Designfehler in Lotus Notes 8.5. Das für das Einlesen von RSS-Feeds dargebotene Widget weist eine kritische Schwachstelle auf. Der Inhalt des RSS-Feeds wird heruntergeladen und die einzelnen Items lokal abgespeichert. Für die Anzeige derer wird der Internet Explorer verwendet. Dieser benutzt hierfür die Rechte der Lokalen Zone, wodurch erweiterte Rechte erlangt werden könnten. So lassen sich damit durch einen korrupten RSS-Feed eingebettete Scripte ausführen oder Objekte einbetten. Der Hersteller wurde frühzeitig über das Problem informiert und hat mit einem Hotfix reagiert. In der im Oktober 2009 erscheinenden Version 8.5.1 wird das Problem ebenfalls behoben sein. Unter anderem wird der Fehler auch in den Datenbanken von X-Force (53101) und Tenable (901014) dokumentiert. Auf Deutsch berichtet unter anderem Heise zum Fall. Zusätzliche Informationen finden sich unter securityreason.com.

Für den Vulnerability Scanner Nessus wurde am 11.09.2009 ein Plugin mit der ID 901014 herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann.

Fehler wie diese sind auf das Fehlen einer durchdachten Software-Architektur zurückzuführen. Die Entwickler haben es versäumt, die Tragweite ihrer Design-Entscheidung zu berücksichtigen. Durch die Verkettung dieser unglücklichen Umstände wird es damit möglich, einen Angriff auf den RSS-Reader umzusetzen.

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

CPE 2.3info

CPE 2.2info

Screenshot

CVSSv4info

VulDB CVSS-B Score: 🔍
VulDB CVSS-BT Score: 🔍
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 5.5
VulDB Meta Temp Score: 5.0

VulDB Base Score: 5.5
VulDB Temp Score: 5.0
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Erweiterte Rechte
CWE: CWE-94 / CWE-74 / CWE-707
CAPEC: 🔍
ATT&CK: 🔍

Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Zugang: Privat
Status: Proof-of-Concept
Autor: Marc Ruef
Zuverlässigkeit: 🔍
Programmiersprache: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 901014
Nessus Risiko: 🔍

OpenVAS ID: 901015
OpenVAS Name: IBM Lotus Notes RSS Reader Widget HTML Injection Vulnerability (Linux)
OpenVAS Datei: 🔍
OpenVAS Family: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔍
Exploit Delay Time: 🔍

Upgrade: Lotus Notes 8.5.1
Alternative: Mozilla Thunderbird

Timelineinfo

07.04.2009 🔍
08.09.2009 +154 Tage 🔍
08.09.2009 +0 Tage 🔍
08.09.2009 +0 Tage 🔍
08.09.2009 +0 Tage 🔍
08.09.2009 +0 Tage 🔍
09.09.2009 +1 Tage 🔍
09.09.2009 +0 Tage 🔍
11.09.2009 +2 Tage 🔍
11.09.2009 +0 Tage 🔍
16.03.2010 +185 Tage 🔍
08.10.2018 +3128 Tage 🔍

Quelleninfo

Hersteller: ibm.com

Advisory: seclists.org
Person: Marc Ruef
Firma: scip AG
Status: Nicht definiert
Bestätigung: 🔍
Koordiniert: 🔍

CVE: CVE-2009-3114 (🔍)
X-Force: 53101
Vulnerability Center: 25082 - IBM Lotus Notes Remote HTML Injection Vulnerability via a Crafted RSS Feed, Medium
SecurityFocus: 36305 - IBM Lotus Notes RSS Reader Widget HTML Injection Vulnerability
Secunia: 36813 - IBM Lotus Notes RSS Widget Internet Zone Security Bypass, Less Critical
OSVDB: 57935 - IBM Lotus Notes RSS Reader Widget MSIE Local Machine Zone Arbitrary Script Execution

Heise: 145554
scip Labs: https://www.scip.ch/?labs.20161013
Diverses: 🔍

Eintraginfo

Erstellt: 08.09.2009 13:11
Aktualisierung: 08.10.2018 14:55
Anpassungen: 08.09.2009 13:11 (96), 08.10.2018 14:55 (9)
Komplett: 🔍

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Are you interested in using VulDB?

Download the whitepaper to learn more about our service!