Kurz nach dem Fix Pack 4 in der 9.0.1er-Linie des IBM Domino-Server ist
auch dieser Interims Fix erschienen.
Es geht wieder um die Beseitigung von sicherheitsrelevanten Fehlern:
"IBM Domino Web Server contains
two vulnerabilities. The Domino Web Server has an open redirect cross-site
scripting vulnerability. In addition, the Domino Directory template, when
available over HTTP, has a reflected cross-site scripting vulnerability."
Für den ersten Teil "reicht"
es, wenn man auf einem 8.5.3er Domino-Server die Domino-Verzeichnis-Schablone
(pubnames.ntf) eines Domino 9.0 oder 9.0.1 anwendet:
"The Domino Web Server reflected
cross-site scripting vulnerability is tracked as SPR# KLYH8WBPRN and the
fix is introduced in the Domino 9.0.0 version of the Domino Directory template
(pubnames.ntf). IBM Domino 8.5.x servers running a Domino 9.0 or 9.0.1
pubnames.ntf is a supported configuration."
Um das zweite Thema kümmert sich der
IF 9 (bzw. 9.0.1 FP4):
"The Domino Web Server open redirect
cross-site scripting vulnerability is tracked as SPR# SJAR9DNGDA. The fix
for this issue is introduced in both Domino 8.5.3 Fix Pack 6 Interim Fix
9 and Domino 9.0.1 Fix Pack 4. To enable the fix, on these or later releases,
you must add the following new INI setting to the Domino server's
notes.ini: DominoValidateRedirectTo=1."
Das mit der notes.ini-Einstellung ist
also kritisch, damit der Fix sich überhaupt auswirkt!
Falls jemand wirklich noch einen "klassischen"
Sametime-Meeting-Server nutzt (also von Sametime 9), braucht er noch einen
weiteren Fix dafür:
"If you are running Sametime Classic
Meeting Server, then to remediate the open redirect cross-site scripting
vulnerability, you must also apply Sametime Classic Meeting Server hotfix
"RPOH-9RPW4K". To obtain this hotfix, open a service request
with IBM Support."
Quellen:
Security
Bulletin: IBM Domino Web Server contains two vulnerabilities (CVE-2015-2014,
CVE-2015-2015)
Interim
Fixes & JVM patches for 8.5.3 Fix Pack 6 versions of IBM Notes, Domino
& iNotes
Downloads
des 8.5.3 FP 6 IF 9
