Notes-Anwender sind Angriffen ausgeliefert

Eine amerikanische Sicherheitsfirma hat ein neues Sicherheitsloch in der Domino-Plattform von Notes ausgemacht, durch das die Rechner von Notes-Anwendern ferngesteuert werden können. Das Problem tritt in Domino/Notes 4.6 bis Release 5 auf.

Das Sicherheitsloch tut sich im HTTP-Password-File auf: Das Programm verschlüsselt die Passwörter der Notes-Nutzer stets auf die selbe Art und Weise. Hat ein Hacker diesen Mechanismus einmal durchschaut, steht im Tür und Tor zu prinzipiell jedem Notes-Client offen. „Auf vergleichsweise einfachem Wege kann jemand alle Notes-Files öffnen und damit machen was immer er will“, erklärte der Manager der Sicherheitsfirma Idefense aus Vancouver, Ben Venzke.

Nach Ansicht von Lotus-Mitarbeitern sei die Dechiffrierung der Passwörter aber „alles andere als einfach“. Außerdem „brauchen Sie physischen Zugang zu einer Workstation, eine eigene Notes ID, ein gültiges Passwort und eine Hand voll wirklich raffinierter Hacker-Tools um das durchzuziehen“, sagte die Lotus-Managerin Katherine Spanbauer. Auf keinem Fall könne der Fremdzugriff aber über das Internet erfolgen. Administratoren rät sie, alle „Person Documents“ im Domino-Directory zu sammeln und auf den neuesten Passwort-Stand zu bringen.

Kontakt:
Lotus Infoline, Tel.: 01805/4123