本文へジャンプ

（参考）Lotus Domino Web サーバーサーブレット / Web コンテナにおける潜在的な脆弱性の問題

この文書は、米国 IBM 社の資料 ("Lotus Domino Web Server Servlet /Web Container Vulnerability ") を翻訳した参考文書です。日本語環境での検証は行っておりませんのでご注意ください。

問題 (Problem)

不正な HTTP リクエストが起因となり発生しうる、Lotus Domino Web サーバーサーブレットエンジンおよび Web コンテナにおける潜在的なクロスサイトスクリプティング (XSS) の脆弱性が報告されました。

攻撃者がこの脆弱性を利用するためには、下記の条件を満たす必要があります。
・ Lotus Domino Web サーバータスク (HTTP) が有効になっている
・ 攻撃者が Web ブラウザ経由で Lotus Domino Web サーバーに認証されアクセスできる
・ 攻撃者が Web ブラウザを使用し、クロスサイトスクリプティングの脆弱性を引き起こす、特殊な悪意のある HTTP リクエストを作成する
・ Lotus Domino Web サーバーが悪意あるリクエストを処理することにより、脆弱性の問題が発生する

解決策 (Solution)

本件は、問題報告番号 MKIN7AUTAC として Lotus Quality Engineering に報告され、Lotus Domino 7.0.3 Fix Pack 1 (FP1)、7.0.4 および 8.0.1 で修正されました。

補足情報 (Supporting Information)

本事象はセキュリティ問題に該当しているため、問題の再現手順など詳細に関するお問い合わせについて、ここに掲載された以上の情報提供を行っておりません。セキュリティ保全の観点による措置のため、あらかじめご了承いただきますようお願いします。

重要度、発生頻度など当事象を評価する情報については、以下の CVSS 評価値を利用ください。CVSS の評価値の読み方については、「共通脆弱性評価システム CVSS V2 概説」 をご参照ください。

Security Rating using Common Vulnerability Scoring System (CVSS) version 2
CVSS Base Score: < 3.5 >
-- Impact Subscore: < 2.9 >
-- Exploitability Subscore: < 6.8 >
CVSS Temporal Score: < 2.7 >
CVSS Environmental Score: < Undefined* >
Overall CVSS Score: < 2.7 >
Base Score Metrics:
  • Related exploit range/Attack Vector: < Network >
  • Access Complexity: < Mediam >
  • Authentication < Single >
  • Confidentiality Impact: < None >
  • Integrity Impact: < Partial >
  • Availability Impact: < None >
Temporal Score Metrics:
  • Exploitability: < Proof of Concept Code >
  • Remediation Level: < Official Fix >
  • Report Confidence: < Confirmed >
References:
Complete CVSS Guide
共通脆弱性評価システム CVSS V2 概説
脆弱性の深刻度評価の新バージョンCVSS v2への移行について

CVSS Caluculator:
(英語) Online Calculator
(日本語) Online Calculator

* Environmental Score (環境評価基準) は、製品利用者の利用環境も含め、最終的な脆弱性の深刻度を評価する基準です。攻撃を受けた場合の二次的な被害の大きさや、組織での対象製品の使用状況といった基準で評価し、CVSS 環境値 (Environmental Score) を算出します。これは、お客様自身が脆弱性への対応を決めるために評価する基準です。

関連文書 (Related Document)

(英文) 「Lotus Domino Web Server Servlet /Web Container Vulnerability」(Technote #1303296)


----- 更新履歴 -----
2009/05/20 Lotus Domino 7.0.4 で修正されていることを追記


掲載内容は2009年5月20日現在の情報です。内容は事前の予告なく変更することがあります。
IBM、IBM ロゴおよび ibm.com は、世界の多くの国で登録された International Business Machines Corporation の商標です。
他の製品名およびサービス名等は、それぞれ IBM または各社の商標である場合があります。
現時点での IBM の商標リストについては、www.ibm.com/legal/copytrade.shtml (US) をご覧ください。


上へ戻る

 
Lotus software

文書情報

プロダクト・ファミリー
Domino Server

プロダクト・カテゴリー
Server > Security > Local Security

オペレーティングシステム

ソフトウェア・バージョン
Domino Server 8.0; Domino Server 7.x; Domino Server 6.5.x

文書番号
731820

最終更新日
2009年05月20 日