（参考）Lotus Notes/Domino のメモリマップファイルに関する潜在的な脆弱性の問題

Citrix などの共有ユーザー環境において、Microsoft Windows プラットフォーム上で稼動する Lotus Notes/Domino のメモリマップファイル使用に関する脆弱性の問題が、Symantec 社の Ollie Whitehouse 氏より IBM Lotus に報告されました。

アドバイザリー（注意喚起）へは下記のリンクからアクセスできます。
Symantec Vulnerability Research

デフォルトでは、全ての Windows システムのユーザーが、 Lotus Notes や Lotus Domino のプロセスが生成する共有メモリにアクセスできます。これにより、例えば Citrix サーバーを使用して複数の Lotus Notes クライアントを稼動しているような共有ユーザー環境では、セキュリティリスクとなる可能性があります。 Lotus Domino サーバーも共有メモリを使用しますが、サーバーは通常厳しく保護されているため、この問題によるリスクは低いです。

この脆弱性を利用するためには、攻撃者はシステムへのローカルアクセスの権限を持ち、なおかつ悪意あるプログラムを実行する必要があります。

解決策 (Solution)

本件は問題報告番号 KEMG6B7MMJ として Lotus Quality Engineering に報告され、下記のリリースで修正されました。

• Lotus Notes クライアント：6.5.6, 7.0.3, 8.0
• Lotus Domino サーバー：6.5.5 Fix Pack 3 (FP3), 6.5.6, 7.0.2 Fix Pack 1 (FP1), 7.0.3, 8.0

本事象はセキュリティ問題に該当しているため、問題の再現手順など詳細に関するお問い合わせについて、ここに掲載された以上の情報提供を行っておりません。セキュリティ保全の観点による措置のため、あらかじめご了承いただきますようお願いします。

重要度、発生頻度など当事象を評価する情報については、以下の CVSS 評価値を利用ください。CVSS の評価値の読み方については、「共通脆弱性評価システム CVSS V2 概説」をご参照ください。

Security Rating using Common Vulnerability Scoring System (CVSS) v2

CVSS Base Score: < 6.2 > Impact Subscore: < 10 > Exploitability Subscore: < 1.9 > CVSS Temporal Score: < 4.9 > CVSS Environmental Score: < Undefined* > Overall CVSS Score: < 4.9 >

Base Score Metrics: Related exploit range/Attack Vector: < Local > Access Complexity: < High > Authentication < None > Confidentiality Impact: < Complete > Integrity Impact: < Complete > Availability Impact: < Complete >

Temporal Score Metrics: Exploitability: < Proof of Concept > Remediation Level: < Official Fix > Report Confidence: < Confirmed >

References: Complete CVSS Guide 共通脆弱性評価システム CVSS V2 概説 脆弱性の深刻度評価の新バージョンCVSS v2への移行について CVSS Caluculator: (英語) Online Calculator (日本語) Online Calculator

* Environmental Score （環境評価基準） は、製品利用者の利用環境も含め、最終的な脆弱性の深刻度を評価する基準です。攻撃を受けた場合の二次的な被害の大きさや、組織での対象製品の使用状況といった基準で評価し、 CVSS 環境値 (Environmental Score) を算出します。 これは、お客様自身が脆弱性への対応を決めるために評価する基準です。

関連文書 (Related Document)

(英文)「Potential vulnerability in Notes/Domino memory mapped files 」(Technote #1257030)

2008 IBM Corporation. All rights reserved. Material may not be reproduced or distributed in any form without permission. 掲載内容は 10/25/2007 現在の情報です。内容は事前の予告なく変更することがあります。 Lotus Domino、Lotus NotesはIBMの商標。その他、記載された社名および製品名は、それぞれ各社の商標または登録商標です。