绿盟安全月刊->第40期->最新漏洞 Lotus Notes/Domino R6-beta PROTOS LDAP远程拒绝服务攻击漏洞

日期：2003-04-02

发布日期：2003-03-12
更新日期：2003-03-17

受影响系统：
Lotus Domino 5.0.6
Lotus Domino 5.0.5-french
Lotus Domino 5.0.5
Lotus Domino 5.0.4
Lotus Domino 5.0.3
Lotus Domino 5.0.2
Lotus Domino 5.0.11
Lotus Domino 5.0.10
Lotus Domino 5.0.1
Lotus Domino 5.0
Lotus Domino 4.6.4
Lotus Domino 4.6.3
Lotus Domino 4.6.1
Lotus Notes Client R5
Lotus Notes Client 5.0.5
Lotus Notes Client 5.0.4
Lotus Notes Client 5.0.3
Lotus Notes Client 5.0.2
Lotus Notes Client 5.0.1
Lotus Notes Client 5.0
Lotus Domino 5.0.7
    - HP HP-UX 9.9
    - IBM AIX 4.3
    - IBM OS/2 4.5Warp
    - IBM OS/390 V2R9
    - Linux系统 kernel 2.3
    - Microsoft Windows NT 4.0
    - Microsoft Windows 2000
    - Sun Solaris 8.0
不受影响系统：
Lotus Domino 6.0.1
Lotus Domino 6.0
Lotus Domino 5.0.9a
Lotus Domino 5.0.9
Lotus Domino 5.0.8-french
Lotus Domino 5.0.8
Lotus Domino 5.0.7a
Lotus Domino 5.0.12
Lotus Domino 5.0.11
Lotus Domino 5.0.10
Lotus Notes Client R6
Lotus Notes Client 6.0.1
Lotus Notes Client 6.0
Lotus Notes Client 5.0.9a
Lotus Notes Client 5.0.11
Lotus Notes Client 5.0.10
描述：
--------------------------------------------------------------------------------
BUGTRAQ  ID: 7039
CVE(CAN) ID: CAN-2003-1311

Lotus Domino服务器是一款基于WEB合作的应用程序架构，运行在Linux/Unix和Microsoft Windows操作系统平台下。

Lotus Domino处理LDAP协议时存在漏洞，远程攻击者利用这个漏洞进行拒绝服务攻击。

2001年7月，芬兰Oulu大学的PROTOS协议测试小组发现多个供应商的LDAP实现存在漏洞。Lotus Domino R5.0.7和早期版本也受PROTOS LDAP问题的影响，可导致缓冲区溢出和拒绝服务攻击。另外Lotus Domino R6 Beta和pre-release也存在此漏洞。

<*来源：Rapid7 Security Advisories （advisory@rapid7.com）
  
  链接：http://marc.theaimsgroup.com/?l=bugtraq&m=104757365730077&w=2
*>

建议：
--------------------------------------------------------------------------------
厂商补丁：

Lotus
-----
运行Lotus Domino R6 beta和pre-release builds的用户可升级到R6.0 Gold或更高的版本。由于R6.0 Gold存在其他漏洞，建议用户升级到2003-02之后发布的R6.0.1版本。

运行R5.0.7a及之后版本的用户不受此漏洞影响。

Domino incremental installers可从如下地址获得：

http://www14.software.ibm.com/webapp/download/search.jsp?go=y&rs=ESD-DMNTSRVRi&sb=r