Kennen Sie schon unseren Podcast? Wir sprechen mit Gästen aus Wirtschaft und Wissenschaft über den konkreten Nutzen von Chatbots und KI. Mehr erfahren

HCL informiert über Sicherheitslücken im KeyView von Notes und Domino

von Manuel,
assono GmbH, Standort Kiel,

HCL hat dieser Tage Security Bulletins - je eines für Notes und eines für Domino - veröffentlicht, indem auf diverse Sicherheitslücken in KeyView hingewiesen wird.

KeyView wird im Domino Server bis inklusive Version 9 genutzt, um Datei-Anhänge in Notesdokumenten für die Volltextsuche zu indizieren. Im Notes-Client bis Version inklusive 10 kann KeyView genutzt werden, um Datei-Anhänge zu lesen, ohne tatsächlich eine Software installiert zu haben, die für den Anhang registriert ist.

Leider konnte ich keine weiteren Informationen über den Vektor finden. Andere Lücken in KeyView, die es in der Vergangenheit gegeben hat, waren über manipulierte Datei-Anhänge ausnutzbar. Es ist daher durchaus wahrscheinlich, dass diese aktuellen Lücken über manipulierte E-Mail-Anhänge unbekannter Art ausgenutzt werden können. Das würde auch die zum Teil sehr hohe Kritikalität (9,8) der Lücken erklären.

Mitigation

Eine Art, das Problem einzudämmen ist, KeyView in Notes und Domino zu deaktivieren.

Für Notes ist das am besten über Desktop-Einstellungen (/Richtlinien) machbar.

In Domino wird KeyView über eine notes.ini-Einstellung gesteuert.

ft_index_attachment=1

deaktiviert KeyView ohne die Indizierung von Anhängen komplett zu unterbinden. Das ist ein Kompromiss auf Kosten von Ressourcen-Effizienz und Such-Effektivität. Mit dem Wert "2" wird die Indizierung von Anhängen komplett deaktiviert.

Lösung

Die Verwundbarkeiten sind mit Notes 11 bzw. Domino 10 geschlossen. Das liegt daran, dass diese Versionen statt KeyView nun Apache Tika nutzen. Bedauerlicherweise hat Tika auch eine handvoll Sicherheitslücken, die aber mehr in den Bereich DoS gehen und mit 12.0.2 geschlossen sind.

Noch mehr Gründe, Notes und Domino zu aktualisieren ;-). Sprechen Sie uns an.

Quellen:

Fachbeitrag HCL Notes HCL Domino

Sie haben Fragen zu diesem Artikel? Kontaktieren Sie uns gerne: blog@assono.de

Sie haben Interesse an diesem Thema?

Gerne bieten wir Ihnen eine individuelle Beratung oder einen Workshop an.

Kontaktieren Sie uns

Weitere interessante Artikel

Sie haben Fragen?

Wenn Sie mehr über unsere Angebote erfahren möchten, können Sie uns jederzeit kontaktieren. Gerne erstellen wir eine individuelle Demo für Sie.

assono GmbH

Standort Kiel (Zentrale)
assono GmbH
Lise-Meitner-Straße 1–7
24223 Schwentinental

Standort Hamburg
assono GmbH
Bornkampsweg 58
22761 Hamburg

Telefonnummern:
Zentrale: +49 4307 900 407
Vertrieb: +49 4307 900 411

E-Mail-Adressen:
kontakt@assono.de
bewerbung@assono.de