S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 14 mars 2003 No CERTA-2003-AVI-047

Affaire suivie par :

CERTA

Objet : Vulnérabilité du serveur mandataire Web Retriever de Lotus Notes/Domino

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Déni de service.

2 Systèmes affectés

• Lotus Notes/Domino R4.5 serveur et client ;
• Lotus Notes/Domino R4.6 serveur et client ;
• Lotus Notes/Domino R5 serveur et client ;
• Lotus Notes/Domino R6 beta (pre-Gold) serveur et client ;

3 Résumé

Une vulnérabilité du serveur mandataire Web Retriever de Lotus peut entraîner un déni de service.

4 Description

Le serveur mandataire Web Retriever de Lotus Notes/Domino est utilisé par un utilisateur Notes pour récupérer des pages web via le serveur Notes.

Si le Web Retriever reçoit une ligne "HTTP Status" du serveur HTTP distant excédant une certaine longueur, le programme s'arrête inopinément.

Dans le cas où le Web Retriever est lancé sur un serveur, l'arrêt du programme provoque un déni de service sur le serveur. Dans le cas où le programme est lancé localement par un client, son arrêt provoque l'arrêt du client Notes.

5 Solution

Mettre à jour le serveur Domino ou le client Notes. Les versions suivantes ne sont pas vulnérables :

• Lotus Notes/Domino R6.0 Gold ;
• Lotus Notes/Domino R6.0.1 ;
• Lotus Notes/Domino R5.0.12.

6 Documentation

Avis de Rapid7, Inc. :

http://www.rapid7.com/advisories/R7-0011.html

Avis de IBM Lotus #1105060 :

http://www-1.ibm.com/support/docview.wss?uid=swg21105060

Gestion détaillée du document

14 mars 2003

version initiale.