Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

IBM Domino >= 8.5
IBM Domino <= 8.5.3.6 IBM Domino >= 9.0
IBM Domino <= 9.0.1.8 IBM iNotes >= 8.5
IBM iNotes <= 8.5.3.6 IBM iNotes >= 9.0
IBM iNotes <= 9.0.1.8 Betroffene Plattformen: GNU/Linux IBM AIX Microsoft Windows Ein entfernter, einfach authentisierter Angreifer kann eine Schwachstelle in IBM iNotes mit Hilfe einer SVG-Datei in einer E-Mail ausnutzen, um Tastatureingaben eines anderen Benutzers auszuspähen (SVG Keylogger Vulnerability). Der Hersteller bestätigt die Schwachstelle für IBM Domino und iNotes 9.0 und 9.0.1 vor Version 9.0.1 Feature Pack 8 Interim Fix 3 sowie IBM Domino und iNotes 8.5, 8.5.1, 8.5.2 und 8.5.3 vor Version 8.5.3 Fix Pack 6 Interim Fix 16 und stellt die genannten Interim Fixes als Sicherheitsupdates zur Verfügung. Kunden, die frühere 9.0.x und 8.5.x Releases verwenden, können sich an den IBM Support wenden, um einen Hotfix zu erhalten. Patch: IBM Security Bulletin 2002015 http://www-01.ibm.com/support/docview.wss?uid=swg22002015

CVE-2017-1214: Schwachstelle in IBM Domino und iNotes ermöglicht Ausspähen
von Informationen

In IBM iNotes existiert eine nicht näher beschriebene Schwachstelle, die von
einem Angreifer durch das Senden einer schädlich geformten E-Mail an ein
Opfer getriggert werden kann.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-1003/

IBM Security Bulletin 2002015:
http://www-01.ibm.com/support/docview.wss?uid=swg22002015

IBM PSIRT Blog: Fix Available for IBM iNotes SVG Keylogger Vulnerability
(CVE-2017-1214):
https://www.ibm.com/blogs/psirt/ibm-security-bulletin-fix-available-for-ibm-inotes-svg-keylogger-vulnerability-cve-2017-1214/

Schwachstelle CVE-2017-1214 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-1214

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.