Sicherheitslücke in Lotus Notes erlaubt Code-Ausführung

Fehler im Dateibetrachter von Lotus-1-2-3-Dateien

IBM hat einen Sicherheits-Patch für Lotus Notes veröffentlicht, um eine gefährliche Sicherheitslücke zu schließen. Angreifer können über manipulierte Lotus-1-2-3-Dateien beliebigen Programmcode einschleusen und ausführen, um sich so eine umfassende Kontrolle über ein befallenes System zu verschaffen.

Das Sicherheitsleck steckt in der Dateianzeige-Komponente von Lotus Notes und wurde von Core Security Technologies entdeckt und an IBM gemeldet. Für Lotus Notes 7.x sowie 8.x kann ein Patch bei IBM angefordert werden, bevor das Sicherheitsloch mit dem nächsten geplanten Haupt-Update korrigiert wird. Für Lotus Notes 6.x laufen die Arbeiten an einem Patch noch, während für Lotus Notes 5.x kein Patch geplant ist. Als Workaround gibt IBM an, den betreffenden Dateibetrachter in Lotus Notes zu deaktivieren.

Angreifer müssen ihre Opfer lediglich dazu verleiten, manipulierte Lotus-1-2-3-Dateien per E-Mail zu empfangen und in Lotus Notes zu öffnen. Dann lässt sich Schadcode einspielen und ausführen, so dass der Angreifer beliebige Aktionen auf dem betreffenden PC vornehmen kann. Das Sicherheitsleck betrifft nur die Windows-Ausführungen von Lotus Notes.