公開日:2007/11/07 最終更新日:2007/11/08

JVN#84565055
Lotus Domino におけるクロスサイトスクリプティングの脆弱性

概要

IBM が提供する Lotus Domino には、クロスサイトスクリプティングの脆弱性が存在します。

影響を受けるシステム

以下の製品の AIX版、Linux版、Solaris版、Windows版、および z/OS版

  • Lotus Domino 6.0.X
  • Lotus Domino 6.5.X
  • Losus Domino 7.0.X

詳しくはベンダが提供する情報をご確認下さい。

詳細情報

IBM が提供する Lotus Domino は、 同社が提供するグループウェア Lotus Notes のサーバソフトウェアです。
Lotus Domino には、クロスサイトスクリプティングの脆弱性が存在します。

想定される影響

Lotus Domino サーバにアクセスしているユーザのウェブブラウザ上で、任意のスクリプトを実行される可能性があります。

対策方法

アップデートする

Lotus Domino 6.5.X および 7.0.X をお使いの場合:
ベンダが提供している情報をもとに最新版のプログラムにアップデートしてください。
対策済み最新バージョン

Lotus Domino 6.5.6 Fix Pack 2 (FP2)

Losus Domino 7.0.2 Fix Pack 2 (FP2)

Lotus Domino 7.0.3

Lotus Domino 8.0

Lotus Domino 6.0.X をお使いの場合:
ベンダから 2007年4月30日をもって Lotus Notes/Domino 6.0.X のサポート終了が告知されています。Lotus Domino 6.5.X より前のバージョンをお使いの場合は、6.5.X 以上へアップグレードすることがベンダより推奨されています。

詳しくはベンダが提供する情報をご確認下さい。

参考情報

  1. IPA
    「Lotus Domino」におけるクロスサイト・スクリプティングの脆弱性

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

2007.11.07における脆弱性分析結果

評価尺度 攻撃成立条件 評価値
攻撃経路 インターネット経由からの攻撃が可能
認証レベル 匿名もしくは認証なしで攻撃が可能
攻撃成立に必要なユーザーの関与 リンクをクリックしたり、ファイルを閲覧するなどのユーザ動作で攻撃される
攻撃の難易度 専門知識や運がなくとも攻撃可能

各項目の詳しい説明

謝辞

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC がベンダとの調整を行いました。
報告者:株式会社セキュアスカイ・テクノロジー 福森 大喜 氏

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia

更新履歴

2007/11/08
JPCERT/CC による脆弱性分析結果:認証レベルを修正しました。