Défaut de permission dans Lotus Domino sur Linux

Date : 22 Juin 2005

Dans un avis de sécurité publié en janvier 2004 sur Bugtraq, le groupe allemand "excluded.org" signale que lors de l'installation de Lotus Domino 6.0.2 sur plate-forme Linux, certains fichiers de configuration ont des permissions incorrectes.

Typiquement, il a été constaté que le fichier "notes.ini", créé lors de l'installation, pouvait être modifié ensuite par n'importe quel utilisateur ayant un compte sur la machine (permissions UNIX "rwx" accordées à tous). Dans ce cas, il est facile pour un utilisateur local de modifier le contenu de ce fichier de façon à prendre le contrôle du serveur Domino.

IBM a démenti cette information, ou plutôt, a précisé que l'anomalie était due à une mauvaise configuration du compte "notes" utilisé pour installer Domino. En effet, le serveur Domino fonctionne sous l'identité d'un compte non privilégié (typiquement dénommé "notes"), qui doit être créé par l'administrateur système avant l'installation du serveur Domino. Si ce compte "notes" a un "umask" trop permissif (par exemple un "umask" égal à zéro), alors le programme d'installation du serveur Domino créera des fichiers insuffisamment protégés (permissions incorrectes). IBM recommande donc d'utiliser un "umask" tel que "077" pour sécuriser au maximum les installations de Domino. IBM n'a pas annoncé qu'il modifierait ses procédures d'installations pour éviter ce cas de figure.

Cette anomalie ne peut pas être totalement imputée au produit Domino (IBM considère que c'est le compte d'installation utilisé qui est responsable de l'anomalie) et le Cert-IST n'a donc pas publié d'avis de sécurité sur ce sujet. Cependant, nous recommandons aux administrateurs de serveur Domino de bien vérifier les permissions des fichiers de configuration de leurs serveurs, ainsi que "l'umask" du compte "notes" pour éviter ce type de problème.

Pour plus d'information :

 

Précedent Précedent Suivant Suivant Imprimer Imprimer

© 2024 Cert-IST