Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
IBM Domino <= 8.5.3.4 IBM iNotes <= 8.0.2 IBM iNotes <= 8.5.3 IBM iNotes <= 9.0 Betroffene Plattformen: Apple iOS Apple Mac OS Google Android Operating System Linux Kernel Microsoft Windows Ein entfernter, nicht authentifizierter Angreifer kann diese Schwachstellen ausnutzen, um Informationen auszuspähen, Sicherheitsvorkehrungen zu umgehen und Cross-Site-Scripting-Angriffe durchzuführen. Patch: Lotus-ADV-ibm_security_bulletin_ibm_inotes_open_redirect_and_cross_site_scripting_vulnerabilities_cve_2013_0594_cve_2013_0595 https://www-304.ibm.com/connections/blogs/PSIRT/entry/ibm_security_bulletin_ibm_inotes_open_redirect_and_cross_site_scripting_vulnerabilities_cve_2013_0594_cve_2013_0595?lang=en_us
Patch:
Lotus-ADV-ibm_security_bulletin_multiple_vulnerabilities_in_ibm_inotes_cve_2013_0589_cve_2013_0592_cve_2013_0594_cve_2013_0595
CVE-2013-0595: Cross-Site-Scripting-Schwachstelle in IBM iNotes
IBM iNotes ist anfällig für Cross-Site-Scripting-Angriffe, da
Benutzereingaben unzureichend gefiltert werden. Ein entfernter, nicht
authentifizierter Angreifer kann mit einer speziell manipulierten URL
beliebige Webskripte oder HTML-Code im Web-Browser eines Opfers in der
Sicherheitsumgebung der Hosting-Website ausführen. Der Angreifer kann die
Cookie-basierte Anmeldeinformationen eines Benutzers stehlen.
CVE-2013-0594: Schwachstelle in IBM iNotes
Die Redirect Funktion in IBM iNotes enthält eine Schwachstelle, durch die
ein Angreifer vertrauenswürdige URLs manipulieren und zu beliebigen URLs
umleiten kann. Wenn ein angemeldeter Benutzer diese manipulierten URLs
aufruft, können beliebige Befehle mit den Benutzerrechten ausgeführt werden
oder persönliche Benutzerdaten preisgegeben werden.
CVE-2013-0592: Cross-Site-Scripting-Schwachstelle in IBM iNotes
Eine Schwachstelle in IBM iNotes ermöglicht Cross-Site-Scripting-Angriffe.
Ein entfernter, nicht authentifizierter Angreifer kann mit Hilfe eines
speziell manipulierten Links beliebige Befehle mit den Rechten des
angemeldeten Benutzer ausführen und an vertrauliche Benutzerdaten gelangen.
Voraussetzung dafür ist, dass ein angemeldeter Benutzer diesen manipulierten
Link aufruft.
CVE-2013-0589: Schwachstelle in IBM iNotes
IBM iNotes enthält eine Schwachstelle, die zum Ausspähen von Informationen
oder für weitere Angriffe genutzt werden kann. Ein entfernter, nicht
authentifizierter Angreifer kann mit einer E-Mail, die speziell manipulierte
Markups enthält, die Filterfunktion für Remote Images umgehen. Dadurch kann
er Nachrichten markieren, als vom Benutzer gelesen, und die Grundlage für
weitere Angriffe schaffen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-0554/
Lotus-ADV-ibm_security_bulletin_ibm_inotes_open_redirect_and_cross_site_scripting_vulnerabilities_cve_2013_0594_cve_2013_0595:
https://www-304.ibm.com/connections/blogs/PSIRT/entry/ibm_security_bulletin_ibm_inotes_open_redirect_and_cross_site_scripting_vulnerabilities_cve_2013_0594_cve_2013_0595?lang=en_us
Lotus-ADV-ibm_security_bulletin_multiple_vulnerabilities_in_ibm_inotes_cve_2013_0589_cve_2013_0592_cve_2013_0594_cve_2013_0595:
https://www-304.ibm.com/connections/blogs/PSIRT/entry/ibm_security_bulletin_multiple_vulnerabilities_in_ibm_inotes_cve_2013_0589_cve_2013_0592_cve_2013_0594_cve_2013_0595?lang=en_us
Schwachstelle CVE-2013-0589 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-0589
Schwachstelle CVE-2013-0592 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-0592
Schwachstelle CVE-2013-0594 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-0594
Schwachstelle CVE-2013-0595 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-0595
(c) DFN-CERT Services GmbH
Die nicht kommerzielle Weiterverbreitung ist mit Hinweis auf den
Copyrightinhaber erlaubt.
