Schwachstellen in Notes-Dateiviewern
von Oliver RegelmannAn sich eines der herausragenden Features des Notes-Clients sind die eingebetteten Betrachter für verschiedene Dateitypen. Sie ermöglichen es, einen Anhang zu betrachten, auch wenn die entsprechende Software gerade nicht installiert ist. Und selbst bei installiertem Word, Excel, Powerpoint oder was auch immer nutze ich das gerne, weil es einfach schneller geht, als erst die Anwendung zu starten. Für das reine Lesen des Inhalts reicht der Viewer in der Regel aus.
Nebenbei umgeht man dann die ganzen Sicherheitsfragen, die mit diesen Dokumenten und möglicherweise aktiven Inhalten einhergehen. Kritisch wird das nur, wenn der Viewer selbst eine Sicherheitslücke enthält.
Von einer solchen ist nun innerhalb eines Monats leider zum zweiten Mal zu berichten, z.B. auf Heise am 24.10. und heute. Für alle Lücken gibt es Fixes, teilweise in Form der Versionen 6.5.6, 7.0.3, 8.0 oder 8.0.1, die allerdings teilweise noch nicht - zumindest nicht auf deutsch - zur Verfügung stehen, für die aktuelle bislang allerdings nur als Hotfix, der explizit angefordert werden muss. Da ist es vielleicht einfacher, den Viewer für die betroffenen Lotus-1-2-3-Dateien zu deaktivieren.
Wie das geht, wird in einer IBM-Technote beschrieben. Eine weitere Lösung wäre, die entsprechenden Dateitypen am Mailgateway abzufangen.
Nebenbei umgeht man dann die ganzen Sicherheitsfragen, die mit diesen Dokumenten und möglicherweise aktiven Inhalten einhergehen. Kritisch wird das nur, wenn der Viewer selbst eine Sicherheitslücke enthält.
Von einer solchen ist nun innerhalb eines Monats leider zum zweiten Mal zu berichten, z.B. auf Heise am 24.10. und heute. Für alle Lücken gibt es Fixes, teilweise in Form der Versionen 6.5.6, 7.0.3, 8.0 oder 8.0.1, die allerdings teilweise noch nicht - zumindest nicht auf deutsch - zur Verfügung stehen, für die aktuelle bislang allerdings nur als Hotfix, der explizit angefordert werden muss. Da ist es vielleicht einfacher, den Viewer für die betroffenen Lotus-1-2-3-Dateien zu deaktivieren.
Wie das geht, wird in einer IBM-Technote beschrieben. Eine weitere Lösung wäre, die entsprechenden Dateitypen am Mailgateway abzufangen.
Kommentare [0]
Feeds