Dansker finder alvorlige sårbarheder i IBM's Lotus Notes: Står stadig piv-åbne tre måneder efter IBM blev advaret

En dansk sikkerhedsekspert har fundet adskillige kritiske sårbarheder i IBM-platformen Notes. Og de bliver tilsyneladende ikke patchet.

“Der var simpelthen så meget dårlig kode, at jeg var nødt til at kigge nærmere på det.”

Lasse Trolle Borup er sikkerhedsrådgiver hos Improsec, og da han i oktober 2017 testede sikkerheden på en bærbar computer for en kunde, blev han hurtigt opmærksom på IBM-systemet Notes.

Den efterhånden 29 år gamle softwareplatform er stadig et udbredt redskab til mail- og kalenderfunktionalitet i virksomheder og organisationer, og da den danske sikkerhedsrådgiver så nærmere på kodekvaliteten, fandt han hurtigt flere graverende sårbarheder.

De i alt tre sårbarheder ligger i platformens værktøjer til henholdsvis udrulning af opdateringer og diagnosticering, og en hacker kan udnytte dem til at få adgang som systemadministrator og udvide sine egne rettigheder derfra.

“Det er i den alvorlige ende,” siger Lasse Trolle Borup til Computerworld.

Huller bliver ikke lukket
Improsec gjorde IBM opmærksom på sårbarhederne tilbage i slutningen af oktober 2017.

Men mere end tre måneder senere har IBM stadigvæk ikke lagt an til at udsende en patch for at lukke hullerne - heller ikke selv om it-giganten anerkender, at sårbarhederne findes.

Derfor offentliggør sikkerhedsfirmaet nu sårbarhederne og opskriften på at udnytte dem for at få få IBM til at sikre sin software.

“Jeg mener jo, at IBM har et ansvar overfor sine kunder, når der bliver indrapporteret sårbarheder. Der kan være hackere, der har kendt til sårbarhederne i lang tid og udnyttet dem uden at blive opdaget. IBM bør få fikset det og informere sine kunder,” siger Lasse Trolle Borup.

Selv om IBM tilsyneladende ikke er på vej med en patch, behøver man dog ikke gå i panik, selvom ens virksomhed bruger IBM Notes.

Sårbarhederne kan nemlig sættes ud af spillet ved simpelthen at slå de to funktioner, der rummer sårbarhederne fra.

Det drejer sig om IBM Notes Diagnostics og IBM Notes Smart Update Service, og begge kan lukkes ned, uden at det påvirker resten af platformen.

“Vores anbefaling er helt klart, at man slår funktionerne fra, hvis man ikke er afhængig af dem. Det bør ikke påvirke resten af funktionaliteten, og det er let at gøre,” siger Lasse Trolle Borup.

Computerworld arbejder på at få en kommentar fra IBM.

Hvis du er interesseret i en teknisk gennemgang af sårbarhederne, kan du finde det hos Improsec her.

Opdateret: IBM har efter offentliggørelsen af sårbarhederne udsendt fixes til Notes-platformen. De kan downloades her.


Ytringer på debatten er afsenders eget ansvar - læs debatreglerne
Indlæser debat...


Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Brother Nordic A/S
Import og engroshandel med kontormaskiner.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
GDPR: Drift og dagligdag - effektive it-værktøjer

Du har nu (forhåbentligt) styr på virksomhedens dataflow i forhold til GDPR. På dette seminar bliver du præsenteret for en række af de mest effektive it-værktøjer til håndtering af persondata, så I lever op til GDPR: Inklusive varsling, samtykke, lagring, overblik, dokumentation og sletning.

21. februar 2019 | Læs mere


Få styr på det rigtige setup: Skal du vælge on prem eller cloud? Eller en kombination?

Mange virksomheder har i årevis opbevaret og håndteret deres data i egne datacentre, men med cloud computing er tingene for alvor i opbrud. På dette event bliver du klogere på de muligheder, som du har for at designe en hybrid cloud-infrastruktur, der kombinerer on-premise og forskellige cloud-former på bedst mulig måde for netop din forretning.

26. februar 2019 | Læs mere


Predictive business analytics - Brug AI og Machine learning til at forstå og forudsige dine kunders adfærd

Machine Learning og kunstig intelligens er ikke længere bare hype. Det er et værktøj, der for eksempel kan hjælpe dig med at give dine kunder individualiserede og relevante tilbud – og dermed øge både salg og kundetilfredshed. Data om dine kunder og deres adfærd er en uundværlig ressource i salgsarbejdet. Uden indsigt og kendskab til kunderne, er det en hovedløs jagt at skabe mersalg og styrke kundeloyaliteten. Machine Learning hjælper dig og dit salgspersonale med at bruge alle disse data og med meget stor sikkerhed at forudsige kundens næste køb.

27. februar 2019 | Læs mere






Premium
Kendt dansk webshop åbner igen efter to måneders nedbrud efter hackerangreb: "Det er ikke nogen billig beslutning"
Bahne.dk har været nede siden nytår efter at være blevet ramt af et hackerangreb. Om to uger kan direktøren igen åbne siden, men ved stadig ikke med sikkerhed, hvorfor siden blev ramt.
CIO
Tech fra Toppen: Det har CIO Mads Madsbjerg Hansen fra FLSmidth lært af flere års global it-konsolidering
Tech fra Toppen: Flere års arbejde har betydet en reduktion i antallet af it-systemer hos FLSmidth. Men processen har ikke været uden overraskelser. Hør hvad CIO Mads Madsbjerg Hansen har lært af den omfattende og globale proces.
Job & Karriere
Toke Kruse: Jeg spår, at humankapital i 2019 erstattes af it-kapital
I 2019 vil vi se en kæmpe udskiftning af ressourcer, hvorunder de menneskelige processer overtages af software, der gør os mennesker hurtigere og mere effektive. Betyder det store fyringsrunder? Måske.
White paper
Er din Citrix monitorering klar til virtuelle Apps og desktops 7.x?
Citrix XenApp 6.5 nåede End-of-Life (EoL) d. 30. juni 2018 og det betyder at organisationer rundt i hele verden er ved at skifte til Citrix Virtual Apps og Desktops 7.x, som blev udgivet første gang i 2013. Der er siden tilføjet et hav af nye funktionaliteter og udvidelser. Hvis du og din virksomhed endnu ikke har opgraderet til den nye version, kan det kraftigt anbefales at I gør det, for at kunne drage fordel af alle de nye muligheder. I dette whitepaper gennemgår vil netop forskelle, nyheder og muligheder og ikke mindst de åbenlyse gevinster der ligger og venter ved at opgradere.