Wie geht ihr mit diesem Security-Problem um?

[schroederk]

Hallo,

ich bin heute bei Heise auf folgenden Artikel gestoßen:
ZDI benennt Sicherheitslücken
Insbesondere dort auf
http://www.zerodayinitiative.com/advisories/ZDI-11-049/

Interessant, dass das Thema bei IBM bereits 2 1/2 Jahren bekannt sein soll und es noch immer keinen Patch gibt.
Und wie man sich gegebenenfalls schützen kann, ohne auf kostenpflichtge Produkte wie TippingPoint zurückzugreifen.

[Micha B]

Ich würde gern mal wissen in welchen Domino Versionen das Problem gefunden wurde bzw. auftreten soll. Ein Hinweis darauf wäre ja mal nicht schlecht gewesen.

[Dr.Domino]

"Interessant, dass das Thema bei IBM bereits 2 1/2 Jahren bekannt sein soll ..."

Das hört sich eigentlich eher untypisch an ... oder es ist irgendwo "hintenrunter"gefallen.

Unter SPR KLYH889M8H "confirmed" IBM das Problem jedenfalls und "investigated a fix".

[schroederk]

Da es als ungepatched gilt, befürchte ich, dass es in allen Versionen klappt.
Und ist sicherlich ein gewaltiges Sicherheitsloch, wenn ein Port, der nicht gesperrt werden kann, genutzt werden kann, um auf einem Domino mit Systemrechten Programme auszuführen. Nichtmal eine Authentifizierung ist ja erforderlich.

Unter SPR KLYH889M8H "confirmed" IBM das Problem jedenfalls und "investigated a fix".

Immerhin schreiben sie auch, dass es offenbar derzeit noch keinen Exploit gibt. Bleibt zu hoffen, dass es bis zum 2Q2011 anhält, mit 8.5.3 soll es ja gefixt sein.

[Micha B]

Bis man dann die nächsten Löcher findet. Software kann, meiner Meinung nach, garnicht 100%ig sicher sein. Angriffe, die in naher Zukunft stattfinden, betreffen dann mit Sicherheit Dinge, die heute noch als sicher gelten. Die betreffende Seite möchte ja vornehmlich aufdecken, wie es um die Behebung besteht, zumindest verstehe ich das so. Das die dort genannten Lücken ausgenutzt wurden oder werden, steht dort jedenfalls nicht. Die Information darüber ist richtig, aber man sollte auch nicht in Hysterie verfallen. Würden alle dort genannten Dinge von allen Herstellern morgen behoben - die Liste in 180 Tagen oder so würde, denke ich, ähnlich lang ausfallen.