Lotus Notes Mail può essere attaccato tramite LotusScript?

TIPS ADMIN ECL sicurezza codice nocivo problemi di sicurezza

  • 3 commenti
Questo articolo non del tutto nuovo (risale al 2004) è uno dei pochi articoli in cui una Vendor (in questo caso Symantec) espone delle considerazioni importanti sulla sicurezza del ambiente notes. In particolare analizza se è possibile ricevere un messaggio dall'esterno del ambiente nativo (tramite SMTP) che possa essere (portare con se del codice) pericoloso nel senso di veicolo di attacchi volti a danneggiare l'ambiente notes client e/o Server.

La cosa interessante di questo articolo è che di fatto evidenzia ancora una volta che le caratteristiche di sicurezza di cui notes è dotato rendono assolutamente molto improbabile  che una attacco dall'esterno via e-mail possa  nuocere realmente all'ambiente nativo.

La fonte del articolo riportato la trovate quì:


http://www.symantec.com

Lotus Notes Mail può essere attaccato tramite LotusScript?


Ultimo aggiornamento in data: November 19, 2004 05:38:08 AM


 


Ci sono state segnalazioni che una vulnerabilità della sicurezza in Lotus Notes Mail può permettere la creazione di un LotusScript nocivo (un linguaggio interno interpretato) che può essere eseguito senza il controllo diretto del creatore dello script. Abbiamo accertato che sebbene ciò sia possibile, è comunque altamente improbabile. Se Notes è configurato correttamente un tale attacco può essere prevenuto.
Lotus Notes dispone di una funzione per la sicurezza incorporata e configurabile: Execution Control List (ECL). La funzione ECL controlla le azioni che il codice eseguibile può compiere in un documento Notes. Essa si basa sul sistema della firma digitale. I controlli ActiveX tuttavia quando sono contenuti in un messaggio di Notes vengono rilevati da Notes come privi di firma. Se la funzione ECL è configurata, come consiglia Lotus, in modo da negare l'accesso a tutti i codici sprovvisti di firma, l'attacco non riuscirà. Si raccomanda vivamente di utilizzare questa impostazione. La funzione ECL può essere gestita da una posizione centrale e distribuita su tutti i client Notes di un dominio Notes.

Anche se la funzione ECL non è configurata correttamente, questo tipo di attacco ha una sola possibilità di riuscire all'interno di un ambiente Lotus Notes. L'attacco si affida a un codice LotusScript, che non può essere contenuto in un messaggio SMTP. Per questo motivo l'aggressore deve trovarsi all'interno della rete Notes e può così essere individuato facilmente tramite i registri del server Domino.

_____________________________________________________________________________________

Nota personale: Ovviamente oggi una mail può contenere molto più che codice activeX. Con il proliferare del Html, ormai le mail possono contenere codice più complesso come il javascript, Applets, e etc.. Ciò non toglie che le regole di comportamento siano equivalenti. Quindi questi codici resteranno nella categoria "No Signature". Se anche riuscissero ad eseguirsi di sicuro non potrebbero essere nocivi per l'ambiente Notes/domino ma se non regolati correttamente dalla ECL (per esempio L'accesso al File system) potrebbero essere comunque pericolosi. Una volta raggiunto il file system il pericolo dovrebbe essere gestito dalla "Bravura" o meno del Sistema Operativo.


Image:Lotus Notes Mail può essere attaccato tramite LotusScript?

Ricordo che la ECL (Execution Control List) è una funzione gestita dal client ma che può essere preimpostata e regolata centralmente tramite Policy

3 Commenti:

  • #1 mere 04/23/2007 7:38:21 PM

    Si. default non autorizza codice senza firma ad essere eseguito... ma potrebbe apparire un pop-up comunque di richiesta di autorizzazione ad eseguire. In genere spetta al utente a questo punto autorizzare o no. Anche in questo caso la scelta predefinita da notes è bloccare. Dato che conosciamo i nostri "Utenti"... è sempre meglio controllare (quando possibile) centralmente la ECL a livello amministrativo.

  • #2 Giuseppe 04/23/2007 11:30:47 AM

    a me sembra che di default la ECL non autorizzi codice non firmato o con firma sconosciuta....

  • #3 Teo 04/23/2007 11:02:57 AM

    Domanda, in questo caso il default non comprende il no signature ? Immagino di no o immagino male?

Commenta articolo
 

Questo spazio web è stato creato da per un uso pubblico e gratuito. Qualsiasi tipo di collaborazione sarà ben accetta.
Per maggiori informazioni, scrivete a info@dominopoint.it

About Dominopoint
Social
Dominopoint social presence: