Hinweis:
Regelmäßig stellt der Lotus Notes File/Datei Viewer eine potenzielle Sicherheitslücke dar (Security – buffer overflow vulnerabilities). ( siehe zum Beispiel Blogeintrag)
Bisher war die Lösung ( bei meinen Kunden):
- Clientpatch HotFix
- oder keyview.ini manuell, per Softwareverteilung oder mit Tools wie MarvelClient anpassen
- oder schon am Server die entsprechenden Attachments zu blockieren
siehe auch Blogbeitrag „Datei Viewer deaktivieren/anpassen“
Mit Release 8.5.3 gibt es nun die Möglichkeit auf einen Flash Alert zum Thema „potenzielle Sicherheitslücke im Lotus Notes Datei Viewer“ sofort und ohne grossen Aufwand über eine Einstellmöglichkeit in den Desktopsettings zu reagieren. ( Bemerkung: soweit die entsprechende angesprochene dll im Settingdokument zur Auswahl steht )
Was passiert am Desktop/Client:
Es werden die entsprechenden Einträge in der keyview.ini einfach deaktiviert.
Beispiel:
Flash Alert von IBM, Secunia oder iDefence: betroffener Dateityp BMP
Step1: betroffene DLL/Modul – kpbmprdr.dll (steht in der zugehörigen Alert-Technote) oder fragen Sie Ihren Berater 😉
Step2: Anpassung des Desktopsetting Dokumentes
Die Desktopsetting deaktiviert den Keyview Filter in der lokalen keyview.ini für das kritische Dateiformat.
Der User der jetzt ein BMP-Attachment mit dem Viewer öffnen will, erhält eine Meldung.
mein Fazit:
Es wird hier zwar nicht die Ursache der „Sicherheitslücke“ gefixt, aber es ist eine einfache Möglichkeit schnell zu reagieren und alle Mal besser als ein Problem zu ignorieren.
getestet mit: Lotus Domino 8.5.3 Engl. – Lotus Notes Standard 8.5.3 Engl.
Quelle: IBM