Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
Производитель ПО
Наименование ПО
IBM Lotus Domino
(0)
Описание
В Domino включена реализация протокола Lightweight Directory Access Protocol (LDAP). LDAP позволяет в распределенной среде получить обычным для пользователя способом доступ к информации, которая хранится в каталогах. Клиентами могут являться приложения и серверы, которым необходимо иметь информацию для совместного использования. Domino использует LDAP, чтобы предоставлять клиентам доступ к информации, хранящейся в Domino Directory. Это удобно для приложений, которые поддерживают LDAP-поиск, т.к. они могут получать информацию из Domino Directory, также как почтовые программы, которые могут проводить поиск почтовых сообщений и адресов в Domino Directory.
Для получения таких данных может использоваться не только LDAP, но LDAP может использоваться также и для обновления данных в Domino Directory. Это нужно для приложений, которые используют стандартный интерфейс при работе с данными Domino Directory.
LDAP позволяет анонимным пользователям просматривать каталог Domino Directory и получить доступ к общедоступной информации. Например, инструмент ldapsearch может удаленно получить данные о текущей конфигурации из Domino Directory. При стандартных настройках авторизация не требуется.
Запрос LDAP позволяет потенциальному злоумышленнику получить ценные сведения. Злоумышленник может создать список имен пользователей и попытаться провести атаку подбора. Если в системе не используется политика безопасности паролей, то некоторые пароли злоумышленник возможно сможет получить, основываясь на именах пользователей, обычно используемых паролях или информации об организации.
Необходимо отключить анонимный доступ к каталогу, если он не используется.
Для получения таких данных может использоваться не только LDAP, но LDAP может использоваться также и для обновления данных в Domino Directory. Это нужно для приложений, которые используют стандартный интерфейс при работе с данными Domino Directory.
LDAP позволяет анонимным пользователям просматривать каталог Domino Directory и получить доступ к общедоступной информации. Например, инструмент ldapsearch может удаленно получить данные о текущей конфигурации из Domino Directory. При стандартных настройках авторизация не требуется.
Запрос LDAP позволяет потенциальному злоумышленнику получить ценные сведения. Злоумышленник может создать список имен пользователей и попытаться провести атаку подбора. Если в системе не используется политика безопасности паролей, то некоторые пароли злоумышленник возможно сможет получить, основываясь на именах пользователей, обычно используемых паролях или информации об организации.
Необходимо отключить анонимный доступ к каталогу, если он не используется.
Как исправить
Ссылки
