Newsgroup: it.fan.marco-ditri
Titolo: Domino, ovvero la sicurezza


Subject:      Lotus Domino: security hole the size of Texas,
              plus somewhat smaller protocol auditing utility
[ Ben, this is an updated version. Plese let this one thru, if it isn't ]
[ too late. Thanks. ]
Even my girlfriend said this bug is incredible :P Sit and relax.
* First of all, a few words from me. Sorry for that if you hate my
* occassional intros - please appreciate that I am not putting 80x20 ASCII
* 'A D V I S O R Y' header at the begining of every post ;) Standard
* disclaimer applies, these are my private beliefs based on assumptions and
* observations that do not have to be true.
<intro>
I am observing really dangerous and alarming tendency in commercial
software. To be short, more and more vendors are claiming their products
are secure - and they have proofs: extended authorization mechanisms, PKI
support, dynamic passwords, SSL support or other advanced techniques.
Oracle, Lotus, other vendors of software which is supposed to be secure -
from data exchange systems to firewalls - well, just go to their websites
and click on 'SECURITY'. But what's behind? Too often we can expect
nothing more than "Saturday Night Live" solutions, which are *not* tested
to provide enough security and are developed by programmers with little or
no knowledge about trust relationships in computer networks (eg. having
propertiary client software does NOT mean you can accept everything coming
from it). Really poor implementations of good algorithms. Where are they
going? *NOTHING* can replace good coding.
</intro>
Ok, an example (as if there were not enough - see Oracle problems, for
example - and a lot of solutions I've recently focused on): Lotus Domino
client <-> server communication when accessing corporate mail. Lotus
Domino is used by banks, insurance companies, large corporations etc. It
is supposed to keep privacy of its users, right? Hmm...
These observations were made on default Lotus Domino installation from the
box. I have no idea if setting up per-user ACLs would help - comments are
welcome.
Let's assume we have user of (randomly chosen) name 'Antonio Banderas'.
He is using Lotus Domino client to access his corporate e-mail account.
His client contacts the server using port 1352 (IIRC, we're talking about
TCP/IP communication), and sends all necessary authorization data. Well
done, Antonio, you know your password. In the response coming from the
server, we can see the following string:
CN=acme_server/O=ACME/C=PLmail\abandera.nsf4
(or similar, depending on server's name, organization, country, mailbox
localization etc)
Funny, server is sending mailbox name to the client. Nothing uncommon, but
what happens then? In order to access user's mailbox, Antonio's client is
sending this name back to the server - see packet dumps and look for
'mail\abandera.nsf'... BZZZT, ALERT!:)
Especially for this occassion, I have developed small and quick hack which
can be used to transparently modify packets travelling thru your gateway -
or, generally, any interface(s) including loopback device. It is called
netsed, by rather obvious analogy to 'sed' ;) You can get it at:
http://lcamtuf.na.export.pl/netsed.tgz
This little proggy can be really useful for futher propertiary protocol
audits and other appliances, but no matter - see the README if you are
interested :)
Ok, I used my NetSED to change mail\abandera.nsf in the packets travelling
between client and server. I have replaced 'abandera' with 'dmaradon', as
Diego Maradona seems to be user of this purely hypotetical e-mail server
as well :P
And what happened? Dear readers! This is ridiculous! Antonio, without
knowing Maradona's password, gained access to his mailbox! Well,
consequences are obvious. Lemme turn my caps lock on ;) OK.
ANY AUTHORIZED USER OF LOTUS DOMINO MAIL SYSTEM CAN GAIN UNAUTIORIZED
ACCESS TO *ANY* MAILBOX IN THE SYSTEM BY MODIFYING THE TRAFFIC BETWEEN HIS
CLIENT AND DOMINO SERVER OR BY MODIFYING CLIENT SOFTWARE ITSELF.
(with great sorrow, have to turn my caps lock off)... Not to mention
accessing / modifying other files than mail\*.nsf entries. I haven't
checked for that - should be more problematic, but probably can be done.
Again - as I said - your comments are welcome. First of all, it would be
nice to confirm this problem, and to see if ACLs might help. And *NO* -
encrypting TCP/IP connection won't change anything, as stated above.
--
_______________________________________________________
Michal Zalewski [
lcamtuf.tpi.pl
] [tp.internet/security]
[
http://lcamtuf.na.export.pl
] <=--=> bash$ :(){ :|:&};:
=---> Did you know that clones never use mirrors? <---=
-- 
ciao, | Bisogna essere il cambiamento che si vuole vedere nel mondo. --Gandhi
Marco | (Ri)scoprire fidonet: 
http://bbs.mi.linux.it


se solo non fosse in polacco

               plus somewhat smaller protocol auditing utility
Tempo fa hai detto che non avresti piu' fatto forward in inglese... ;-P
-- 
 _                    __           | Never trust an operating system 
/ |_ ._o __|_o _.._  (_    .__|_ o | you don't have sources for.
\_| || |_> |_|(_|| | __)|_||(_| || | 
http://www.debian.org
-----------------------------------+ 
http://www.firenze.linux.it/~csurchi
Human beings were created by water to transport it uphill.

Tempo fa hai detto che non avresti piu' fatto forward in inglese... ;-P
Non ricordo nulla di simile.



ma non eri tu :-)
Ciao, Andrea

> Dal produttore di Lotus Notes, un altro grande pezzo di tecnologia.
la sicurezza di Lotus Notes e' una cosa molto particolare, che si basa su
criteri particolari che non puoi capire.
Infatti capita che se un utente non usa piu' un computer,  facciamo ipotesi
che vada militare, la persona che usera' il computer al suo posto potra'
godere dei seguenti benefici:
1) Puo' leggere la posta sia sua che di quello che e' militare sia usando 2
'caselle' diverse che usandone una sola .
2) i messaggi inviati a tutti gli arriveranno doppi, sempre e comunque.
Anche se ha cancellato la casella postale del vecchio utente.
3) quando spedira' un messaggio apparira' il nome e cognome di quell'altro
utente che e' militare, poiche il nuovo utente  non ha i diritti necessari
per modificarlo.
4) quando la persona tornera'  da militare gli daranno un computer nuovo
perche' nel frattempo quell'altro e' diventato vecchio,  quindi configurera'
la sua casella di posta ma si lamentera' che certi messaggi non gli
arrivano, altri invece gli arrivano.
Io ho sempre creduto che i bug di Windows fossero generati dall'ufficio
marketing di Microsoft per potere vendere nuove versioni di Windows, ma
avendo a che fare con Lotus Notes mi rendo conto che la pura vendita di
software non basta piu', e' necessaria la presenza di una nuova figura
professionale, il "consulente Lotus ".  Usando Lotus Notes ci si convince
che in confronto Bill Gates in realta' e' Babbo Natale..
Compito del Consulente Lotus e' di configurare i nuovi computer,
riconfigurare quelli gia' installati, configurare quelli funzionati per
renderli uguali agli altri, configurare costosissimi server di Lotus Notes,
leggere le mail personali dei singoli utenti le quali risiedono fisicamente
sul server, spiegare agli utenti che  i 300 virus diversi memorizzati in
perfetto stato di efficienza sul server Lotus Notes non sono pericolosi
finche' non si apre il messaggio (e gli antivirus?), sviluppare piccoli
applicativi su di un database proprietario che se fatti in MS Access
richiederebbero al confronto 1/10 di manutenzione software e sarebbero 10
volte piu' veloci (il che e' tutto dire).
E' quindi possibile classificare il software in 4 diversi modi:
1) Il software che funziona
2) Il software che funziona al 80% , il rimanente 20% e' migliorabile e in
certi casi basta resettare il PC. (=Windows)
3) Il software che sembra funzionare ma poi si inchioda (=certi software
applicativo gestionale)
4) Lotus Notes

sarebbero 10volte piu' veloci (il che e' tutto dire).
che marea di stronzate. è tutto falso , paragonare Notes ad Access è come
paragonare Fini e Bertinotti,
non c'entrano niente l'uno con l'altro.
Sentite , a voi Notes e Domino vi stanno sul culo, e sono cazzi vostri. Ma
visto che non lo conoscete per niente , almeno state zitti. Prima capire,
studiare e conoscere, poi parlare; è la filosofia del vostro caro idolo
d'Itri, seguitela almeno qui a casa sua.lo stesso fale per l'articolo
iniziale di questo thread , che è una cosa totalmente falsa e inventata ,
come ho già risposto sul sito di securityfocus.
P.S: caro Marco, potevi dirmelo che a S.Stefano non avevi niente da fare, e
hai passato la giornata a segnalare siti sui  Puffi  che vivono secondo il
regime comunista.... ti invitavo a casa mia , era avanzato del Pandoro.
Paolo Armando
Programmatore Notes&Domino - orgoglioso di esserlo!!!
0347509395
"Meglio un giorno da Notes che 100 da pinguino"
-- 
Posted from [213.255.46.171] 
via Mailgate.ORG Server - 
http://www.Mailgate.ORG

paolo....@sai.it
 writes:
[...]
cosa hai usato per postare? non ti ha messo le references

 Non ricordo nulla di simile.
Io si', mi sembrava lo avessi detto quando hai tradotto un annuncio di
non ricordo cosa...
-- 
 _                    __           | Never trust an operating system 
/ |_ ._o __|_o _.._  (_    .__|_ o | you don't have sources for.
\_| || |_> |_|(_|| | __)|_||(_| || | 
http://www.debian.org
-----------------------------------+ 
http://www.firenze.linux.it/~csurchi
Don't suspect your friends -- turn them in!                -- "Brazil"

 ma non eri tu :-)
:-)
-- 
 _                    __           | Never trust an operating system 
/ |_ ._o __|_o _.._  (_    .__|_ o | you don't have sources for.
\_| || |_> |_|(_|| | __)|_||(_| || | 
http://www.debian.org
-----------------------------------+ 
http://www.firenze.linux.it/~csurchi
Never trust a computer you can't repair yourself.

"Meglio un giorno da Notes che 100 da pinguino"
Non ti senti nemmeno un po' ridicolo?
Comunque mi fa piacere vedere che sei diventato un mio fedele fan.



^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^


giacom...@polimi.it
 wrote:

Credo che notes abbia qualche problema a gestire gli header diversi da
to/from/subject...


 ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
Ma quando?
Io uso Outlook 5.5 e mi apre un nuovo messaggio di Outlook.
Saluti
Marco


Mha, e' l'explorer di win ME, ed il PC e' abbastanza pulito, non ho grosse
porcate che compromettano la stabilita' (per lo meno non piu' del solito),
mi sa che pero' lo fa solo sul mio, anche dopo che ho provato a riavviare.
Ho scoperto un nuovo baco, altri 60/70 mila e sono a posto :-)
Ciao
Marco Costamagna

>Compito del Consulente Lotus e' di configurare i nuovi
computer,riconfigurare
grazie per la pronta risposta.
Io uso Lotus Notes tutti i giorni.
Ciao
p.s. da grande faro' il Consulente Lotus

 ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
A me parte un nuovo messaggio di Lotus Notes , per davvero.

to/from/subject...
Credo che, avendo egli postato con Mailgate... ;-)
Ciao, Alessio.
-- 
  PER RISPONDERE TOGLIERE  .linus
Il manuale di Agent: 
http://space.tin.it/cinema/claveron/alessio/index.htm
Le FAQ di ICSN: 
http://space.tin.it/cinema/claveron/alessio/FAQ-icsn.htm
Guida a FAgent: 
http://space.tin.it/cinema/claveron/alessio/FAgent/FA-man.htm

Credo che, avendo egli postato con Mailgate... ;-)
Mailgate gestisce References (sebbene non in maniera ottimale).
-- 
ciao, | Bisogna essere il cambiamento che si vuole vedere nel mondo. --Gandhi
Marco | (Ri)scoprire fidonet: 
http://bbs.bofh.it

 Dal produttore di Lotus Notes, un altro grande pezzo di tecnologia.
e questa è la risposta ufficiale Lotus.
Reported Issue:
In a recent post to an Internet mailing list, the author asserts that,
regardless of ACL settings, anyone who can intercept network packets
between a Notes client and Domino server can circumvent the ACL (
Access
Control List) and gain access to another user's mail file.
Lotus Response:
We have thoroughly investigated this claim and have determined it to be
false.   The Domino server checks and enforces the ACL for each request
based on the user's authenticated identity.  To prevent interception of
the user's credentials, network port encryption can and should be
enabled
on the Domino servers.
Supporting Information:
The report discusses two potential issues.   Neither of these should be
considered a bug in the software.
The first part of the attack can be described as a "Man-in-the-Middle"
attack.  This type of attack intercepts packets on the network and
either
modifies or reads them.  Notes and Domino offer a network port
encryption
feature which prevents this type of attack.  This feature is very
simple
to enable and has been in the product since its initial release (R1).
Details on how to enable this feature are included at the end of this
document.    Similar attacks can be executed against web servers as
well.
That is why administrators configure SSL (Secure Sockets Layer) on web
servers to protect user credentials and confidential data by encrypting
network traffic.
The second alludes to a potential issue with ACLs.   In the example
described, User A's credentials have been intercepted and are used to
access User B's mail file.  Based on a user's authenticated identity,
Domino checks the ACL (access control list) and determines whether the
user has authorized access to the database.   In this case, an entry
for
User A is checked in the ACL for User B's mail file.  If User A is not
listed explicitly in the ACL or as part of a group listed in the ACL,
the
level of access assigned to "Default" will apply.  The standard ACL for
mail files has "Default" access set to "No Access".   Users can
optionally
enable other users to view public documents, which are typically
Calendar
and Scheduling documents.
To encrypt network data on a port
  1.    From the Domino Administrator, choose the server for which you
want to encrypt network data.
  2.    Click the Server - Status tab.
  3.    On the tool bar, choose Setup Ports
  4.    Select a network port in the Communication Ports box.
  5.    Select Encrypt network data.
  6.    Click OK.
The following document will be posted shortly to the Security Zone web
site at 
http://www.lotus.com/security
.  It is also documented in
technote #183851 (still in editorial process).
In the event of any updates, please see the technote, or the web site.
Thomas Hinders
Technical Account Manager / SE - New York
Lotus Development Corp / An IBM Company
Phone: 
610-578-2565
 Fax: 
610-970-5633
Notes: Thomas Hinders@ Lotus
Notes Net: Thomas Hinders@ Lotus @ Notes Net
Internet: 
thomas_...@lotus.com
Sent via Deja.com
http://www.deja.com/

professionale, il "consulente Lotus ".
E'  l'equivalente del sitemista che devi avere per scrivere una
lettera dattiloscritta sugli *nix. :-))))

 
Non so se sono arrivato tardi ma ti faccio qualche domanda:
che cosa lo usi a fare Lotus Notes?
che cosa sai di Lotus Notes?
che cosa hai fatto con Lotus Notes?
-- 
Zio Ciano

Ciao, cugino CMYB.
Non mi farai mica come Paolo Armando adesoo, eh? ;-)

che cosa hai fatto con Lotus Notes?
Hai *cercato* di uccidere qualcuno?
Ciao.

 
Assolutamente no. 
-- 
Zio Ciano

 
Non ancora.
-- 
Zio Ciano

Non ancora.
Niente sussidio, allora, mi spiace (un minimo di buona volonta` devi pur
dimostrarlo).
Ciao.