この文書は、米国 IBM 社の資料 ("Potential security issue with Lotus Notes file viewer for Microsoft Excel") を翻訳した参考文書です。日本語環境での検証は行っておりませんのでご注意ください。
問題 (Problem)
Lotus Notes の Keyview におけるバッファーオーバーフローの脆弱性に関する潜在的な問題が、iDefense Labs より IBM Lotus に報告されました。特定の限定された状況において、任意のコードが実行されてしまう可能性があります。
攻撃者がこの脆弱性を利用するためには、特定の巧妙に細工された Microsoft Excel Spreadsheet (XLS) ファイルをユーザーに送信し、ユーザーはそれをダブルクリックした上で添付ファイルを「表示」させる必要があります。
アドバイザリー (注意喚起) へは下記のリンクからアクセスできます。
iDefense Labs
また、関連する Symantec 社のアドバイザリー (注意喚起) へは下記のリンクからアクセスできます。
Security Advisories Relating to Symantec Products
解決策 (Solution)
本件は、問題報告番号 PRAD7RSL2H として Lotus Quality Engineering に報告され、Lotus Notes 8.5.1 で修正されました。Lotus Notes 7.x および 8.0.x について修正モジュールが必要な場合は、ロータス・カスタマーサポートまでご連絡ください。
注：
・ この問題は Lotus Notes クライアントに関するものであり、Lotus Domino サーバーには影響ありません。
・ この問題は Windows OS 上のクライアントのみに影響します。
Lotus Notes 8.0.x および 7.0.x での回避策
(オプション 1)
ロータス・カスタマーサポートに連絡し、修正モジュールを入手する。
(オプション 2)
以下のセクションに記載されている「添付ファイルビューアーを無効にする方法」のいずれかで、影響を受けるファイルビューアーを無効にすることができます。
Lotus Notes 6.x での回避策
この脆弱性の問題の影響を受けないようにするためには、以下のセクションに記載されている「添付ファイルビューアーを無効にする方法」のいずれかで、影響を受けるファイルビューアーを無効にしてください。Lotus Notes 6.x クライアントについては、修正モジュールはありません。
添付ファイルビューアーを無効にする方法
1. keyview.ini ファイルを削除する
これにより、いかなる種類の添付ファイルであっても、表示しようとすると「ビューアーの設定ファイルが見つかりません。」というメッセージが出力されます (下記※参照) 。
2. 問題の dll ファイルを削除する (xlssr.dll)
これにより、Excel ファイルを表示しようとすると、「ビューアー表示ウィンドウが初期化できません。」というメッセージが出力されます (下記※参照) 。他の種類の添付ファイルに関しては、エラーが発生することなく表示することができます。
3. keyview.ini 内の問題のファイル (dll) を参照している行を無効にする
keyview.ini をエディタで開き、問題のファイル (dll) を参照している行の先頭にセミコロン (;) を挿入してコメントアウトします。
これにより、ファイルを表示しようとすると、「ビューアー表示ウィンドウが初期化できません。」というメッセージが出力されます (下記※参照) 。他の種類の添付ファイルに関しては、エラーが発生することなく表示することができます。
(例)
[KVWKBVE]
;188=xlssr.dll
※【日本語版 Lotus Notes に関する補足事項】
英語版 Lotus Notes をご利用の場合、keyview.ini や dll ファイルは Lotus Notes のプログラムディレクトリ下に存在します。
日本語版 Lotus Notes の場合、プログラムディレクトリ下の他に、\Notes\mui\ja ディレクトリ下にもファイルが存在するため、両方のディレクトリに存在する該当ファイルを編集もしくは削除するようにしてください。
補足情報 (Supporting Information)
一般的に、見覚えのない添付ファイルを開いたり参照する際には特にご注意ください。
メールを開いたりプレビューするときには、添付ファイルは自動的に実行されません。該当のファイルビューアーを使用して添付ファイルを表示したときにのみ問題が発生します。「開く」ボタンからアプリケーションを起動してファイルを表示させた場合には、問題は発生しません。
-----------------------------------
本事象はセキュリティ問題に該当しているため、問題の再現手順など詳細に関するお問い合わせについて、ここに掲載された以上の情報提供を行っておりません。セキュリティ保全の観点による措置のため、あらかじめご了承くださるようお願いします。
重要度、発生頻度など当事象を評価する情報については、以下の CVSS 評価値を利用ください。 CVSS の評価値の読み方については、「共通脆弱性評価システム CVSS V2 概説」をご参照ください。
| Security Rating using Common Vulnerability Scoring System (CVSS) v2 |
| CVSS Base Score: < 9.3 > Impact Subscore: < 10 > Exploitability Subscore: < 8.6 > CVSS Temporal Score: < 7.3 > CVSS Environmental Score: < Undefined* > Overall CVSS Score: < 7.3 > |
| Base Score Metrics: ・ Related exploit range/Attack Vector: < Network > ・ Access Complexity: < Medium > ・ Authentication: < None > ・ Confidentiality Impact: < Complete > ・ Integrity Impact: < Complete > ・ Availability Impact: < Complete > |
| Temporal Score Metrics: ・ Exploitability: < Proof of Concept Code> ・ Remediation Level: < Official Fix > ・ Report Confidence: < Confirmed > |
| References: Complete CVSS Guide 共通脆弱性評価システム CVSS V2 概説 脆弱性の深刻度評価の新バージョンCVSS v2への移行について CVSS Caluculator: (英語) Online Calculator (日本語) Online Calculator |
* Environmental Score (環境評価基準) は、製品利用者の利用環境も含め、最終的な脆弱性の深刻度を評価する基準です。攻撃を受けた場合の二次的な被害の大きさや、組織での対象製品の使用状況といった基準で評価し、CVSS 環境値 (Environmental Score) を算出します。 これは、お客様自身が脆弱性への対応を決めるために評価する基準です。
関連文書 (Related Document)
(英文)「Potential security issue with Lotus Notes file viewer for Microsoft Excel」(Technote #1396492)
----- 更新履歴 -----
2009/08/26 初公開
2009/11/16 8.5.1 での修正を追記
掲載内容は2009年11月16日現在の情報です。内容は事前の予告なく変更することがあります。 IBM、IBM ロゴおよび ibm.com は、世界の多くの国で登録された International Business Machines Corporation の商標です。他の製品名およびサービス名等は、それぞれ IBM または各社の商標である場合があります。現時点での IBM の商標リストについては、www.ibm.com/legal/copytrade.shtml (US) をご覧ください。
文書情報
プロダクト・ファミリー
Notes
プロダクト・カテゴリー
Workstation/Desktop > Notes Client Functionality > Attachments
オペレーティングシステム
Windows
ソフトウェア・バージョン
Notes Client 8.x (Standard); Notes Client 8.x (Basic); Notes Client 7.x; Notes Client 6.x
文書番号
733141
最終更新日
2009年11月16 日