（参考）Lotus Notes のクライアント ECL に関する潜在的な脆弱性の問題

Lotus Notes クライアントの操作制御リスト（ECL）に関する潜在的なセキュリティの問題が、Ed Schaller 氏より IBM Lotus に報告されました。

Lotus Notes R4.5 より導入された ECL により、メール爆弾、ウィルス、トロイの木馬、意図しないアプリケーション侵入といった脅威を防ぐことができます。ECL により、プログラムやコードの実行を許可するかどうかをユーザーが制御するメカニズムが提供されています。ところが、ある特定の限定された状況において、Lotus Notes のデータベース（nsf）やテンプレート（ntf）に添付ファイルが関連する場合に、このメカニズムによる「セキュリティ警告」が表示されない可能性があるということがわかりました。

ECL によるセキュリティチェック機能は、Notes データベース内の添付ファイルを直接開いたり、ボタンを手動で実行して開いた場合は正常に動作します。ところが、同じコードがナビゲータに埋め込まれている場合にのみ潜在的な問題が起こりうる可能性があります。この条件下においては、実行セキュリティ警告が表示されず、添付ファイルが自動的に実行されます。

本件は問題報告番号 KEMG6WELNR として Lotus Quality Engineering に報告され、Lotus Notes 7.0.3 および 8.0 で修正されました。

見覚えのない添付ファイルを開いたり参照する際には特にご注意ください。
また、実績のあるウィルススキャンプログラムを導入し、添付ファイルをフィルタリングすることを推奨します。

本事象はセキュリティ問題に該当しているため、問題の再現手順など詳細に関するお問い合わせについて、ここに掲載された以上の情報提供を行っておりません。セキュリティ保全の観点による措置のため、あらかじめご了承いただきますようお願いします。

重要度、発生頻度など当事象を評価する情報については、以下の CVSS 評価値を利用ください。 CVSS の評価値の読み方については、「共通脆弱性評価システム CVSS V2 概説」をご参照ください。