Otras noticias
Más noticias
En el foro
Ir al foro de Seguridad
vulnerabilidades

Revelación de contraseñas de usuario en Lotus Notes

Se ha descubierto una vulnerabilidad en Lotus Notes 5 y posteriores que podría ser aprovechada por un atacante para revelar información del sistema.

26 Jul 2007 | HISPASEC.COM
L

a función debug puede ser utilizada para escribir un fichero que contenga la nueva contraseña de usuario en texto claro añadiendo las dos siguientes líneas al archivo Notes.ini

KFM_ShowEntropy=1
Debug_Outfile=c:\testvowe.txt

Si un atacante tuviera acceso físico al fichero Notes.ini y al fichero Notes.id, que es cifrado y descifrado con la contraseña del usuario, podría suplantar la identidad de un usuario y autenticarse contra el servidor.

No se ha publicado ninguna solución oficial a este problema. Como contramedida se recomienda:

Para la versión 7 y posteriores se recomienda establecer las configuraciones de Notes.ini en la política de la máquina.

En la versión 6 debería añadirse un campo $PrefKFM_ShowEntropy con valor 0 en el documento de la política.

Con el siguiente script configurado para que se ejecute siempre que un usuario abra la base de datos del correo también se conseguiría el mismo efecto que con la contramedida anterior.

Dim s As New NotesSession
Call s.SetEnvironmentVar("KFM_ShowEntropy","0", true)

Tags: contrasenas, lotus_notes, vulnerabilidades
Boletín

Si quieres recibir cada semana las noticias más interesantes suscríbete a nuestro boletín.

Comentarios
LaFlecha.net no se hace responsable del contenido de los comentarios publicados.
Entérate de cuándo hay nuevos comentarios

No se permitirán los comentarios que :
- puedan resultar ofensivos o injuriosos
- incluyan insultos, alusiones sexuales innecesarias y palabras soeces o vulgares
- apoyen la pedofilia, el terrorismo o la xenofobia

Autor
Comentario
BBCode (Ayuda): [b], [i], [quote], [code]
Publicidad
Ahora en LaFlecha puedes encontrar cursos y másters