Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

IBM Domino 8.5.1
IBM Domino 8.5.2
IBM Domino 8.5.3
IBM Domino 9.0
IBM Expeditor 6.2.1
IBM Expeditor 6.2.2
IBM Expeditor 6.2.3
IBM Notes 8.5.1
IBM Notes 8.5.2
IBM Notes 8.5.3
IBM Notes 9.0
IBM Notes 9.0.1

Betroffene Plattformen:

IBM Domino
IBM Expeditor
IBM Notes

Ein entfernter, nicht authentifizierter Angreifer kann durch Ausnutzen
dieser Schwachstelle letztlich die Verschlüsselung des SSL/TLS Protokolls
brechen und Informationen ausspähen.

IBM stellt keine Sicherheitsupdates zur Verfügung, sondern empfiehlt allen
Benutzern der angegebenen Versionen die ‘RC4 Cipher Suites’ zur
deaktivieren. Dabei sollte geprüft werden, ob die Konfigurationsänderung zu
Kompatibilitätsproblemen führt.

CVE-2015-2808: Schwachstelle in der TLS/SSL-Protokoll-Implementierung

Der RC4-Algorithmus, wie er im TLS-Protokoll und SSL-Protokoll verwendet
wird, kombiniert während der Initialisierungsphase Statusdaten nicht korrekt
mit Schlüsseldaten. Ein entfernter, nicht authentifizierter Angreifer kann
durch Ausnutzen dieser Schwachstelle leichter den Klartext der initialen
Bytes eines Streams ermitteln, indem er den Netzwerkverkehr belauscht, der
gelegentlich auf Schlüsseln beruht, die von dieser Invarianzschwäche
betroffen sind, um in der Folge einen Brute-Force-Angriff unter Verwendung
von LSB-Werten gegen die Verschlüsselung durchzuführen (“Bar
Mitzvah”-Problem) und dadurch Informationen auszuspähen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0881/

Schwachstelle CVE-2015-2808 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2808

IBM Security Bulletin swg21902300:
http://www-01.ibm.com/support/docview.wss?uid=swg21902300

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.