この文書は、米国 IBM 社の資料 ("Potential vulnerability in Notes/Domino memory mapped files ") を翻訳した参考文書です。日本語環境での検証は行っておりませんのでご注意ください。
問題 (Problem)
Citrix などの共有ユーザー環境において、Microsoft Windows プラットフォーム上で稼動する Lotus Notes/Domino のメモリマップファイル使用に関する脆弱性の問題が、Symantec 社の Ollie Whitehouse 氏より IBM Lotus に報告されました。
アドバイザリー（注意喚起）へは下記のリンクからアクセスできます。
Symantec Vulnerability Research
デフォルトでは、全ての Windows システムのユーザーが、 Lotus Notes や Lotus Domino のプロセスが生成する共有メモリにアクセスできます。これにより、例えば Citrix サーバーを使用して複数の Lotus Notes クライアントを稼動しているような共有ユーザー環境では、セキュリティリスクとなる可能性があります。 Lotus Domino サーバーも共有メモリを使用しますが、サーバーは通常厳しく保護されているため、この問題によるリスクは低いです。
この脆弱性を利用するためには、攻撃者はシステムへのローカルアクセスの権限を持ち、なおかつ悪意あるプログラムを実行する必要があります。
解決策 (Solution)
本件は問題報告番号 KEMG6B7MMJ として Lotus Quality Engineering に報告され、下記のリリースで修正されました。
- Lotus Notes クライアント：6.5.6, 7.0.3, 8.0
- Lotus Domino サーバー：6.5.5 Fix Pack 3 (FP3), 6.5.6, 7.0.2 Fix Pack 1 (FP1), 7.0.3, 8.0
修正を適用するためには、下記の notes.ini パラメータを有効にする必要があります。
SharedMemoryAllowOnly=1
このパラメータにより、Lotus Notes/Domino を起動する Windows ユーザーアカウントにのみ、起動された Lotus Notes/Domino プロセスが生成する共有メモリへのアクセスを許可できるようになります。
補足情報 (Supporting Information)
本事象はセキュリティ問題に該当しているため、問題の再現手順など詳細に関するお問い合わせについて、ここに掲載された以上の情報提供を行っておりません。セキュリティ保全の観点による措置のため、あらかじめご了承いただきますようお願いします。
重要度、発生頻度など当事象を評価する情報については、以下の CVSS 評価値を利用ください。CVSS の評価値の読み方については、「共通脆弱性評価システム CVSS V2 概説」をご参照ください。
| Security Rating using Common Vulnerability Scoring System (CVSS) v2 |
| CVSS Base Score: < 6.2 > Impact Subscore: < 10 > Exploitability Subscore: < 1.9 > CVSS Temporal Score: < 4.9 > CVSS Environmental Score: < Undefined* > Overall CVSS Score: < 4.9 > |
Base Score Metrics:
|
Temporal Score Metrics:
|
| References: Complete CVSS Guide 共通脆弱性評価システム CVSS V2 概説 脆弱性の深刻度評価の新バージョンCVSS v2への移行について CVSS Caluculator: (英語) Online Calculator (日本語) Online Calculator |
* Environmental Score （環境評価基準） は、製品利用者の利用環境も含め、最終的な脆弱性の深刻度を評価する基準です。攻撃を受けた場合の二次的な被害の大きさや、組織での対象製品の使用状況といった基準で評価し、 CVSS 環境値 (Environmental Score) を算出します。 これは、お客様自身が脆弱性への対応を決めるために評価する基準です。
関連文書 (Related Document)
掲載内容は2007年10月25日現在の情報です。内容は事前の予告なく変更することがあります。 IBM、IBM ロゴおよび ibm.com は、世界の多くの国で登録された International Business Machines Corporation の商標です。他の製品名およびサービス名等は、それぞれ IBM または各社の商標である場合があります。現時点での IBM の商標リストについては、www.ibm.com/legal/copytrade.shtml (US) をご覧ください。
文書情報
プロダクト・ファミリー
Notes
プロダクト・カテゴリー
Server > Security > Local Security
オペレーティングシステム
Windows
ソフトウェア・バージョン
Notes Client 7.x; Notes Client 6.5.x
文書番号
731304
最終更新日
2007年10月25 日