Sécurisation des applications Lotus Domino
Date : 07 Juillet 2005
Ce mois-ci en dehors de l'avis CERT-IST/AV-2001.295 , 2 autres "problèmes" de sécurité ont été publiés concernant les applications développées sous Lotus Domino.
1 - Accès aux bases de données Domino via le navigateur par défaut ($DefaultNav)
Lotus Domino possède une fonctionnalité appelée "Navigateur par Défaut" ($DefaultNav) permettant à un utilisateur de naviguer sous un format web dans toute la base de données Domino. Cette fonctionnalité peut être introduite par les concepteurs d'application Domino.
Elle permet ainsi à un utilisateur malveillant de consulter à distance la base de données Domino.
Lotus recommande de ne pas utiliser cette fonctionnalité sur des serveurs reliés à des environnements hostiles (Internet). De plus, en suivant les recommandations de sécurité de Lotus qui conseille de positionner des ACL (Access Control Lists) et ECL (Execution Control Lists) sur les documents sensibles, on minimise la portée de ce problème.
2 - Contournement des ACL positionnées sur les vues ("views") des applications Domino
Sous les bases de données Domino, il est possible de présenter la base et ses documents associés sous forme de vues ("views"). Afin de protéger ces vues, des ACL (Access Control Lists) correctement positionnées permettent d'appliquer des restrictions à certaines de ces vues de façon à en empêcher l'accès à des utilisateurs spécifiques.
Néanmoins, il est possible à un utilisateur distant de contourner ces ACL par le biais d'URL spécifique et d'utiliser une autre vue ayant des contrôles d'accès moins restrictifs pour visualiser un document non autorisé.
Cependant, selon Lotus, il est important de noter que les ACL sur les vues ne protègent que l'aspect présentation des données et non les données elles-mêmes. Ainsi, étant donné que les documents peuvent être accédés de différentes façons, il est recommandé de protéger l'accès à ces derniers avec des ACL "standards" plutôt qu'avec des ACL sur les vues.
Pour plus d'information :
1er problème :
- Avis de NGSSoftware : http://www.nextgenss.com/advisories/defaultnav.txt
- Réponse de Lotus : http://support.lotus.com/sims2.nsf/0/4f4044be36ed537885256afc0063975c
2em problème :
- Avis de NGSSoftware : http://www.nextgenss.com/advisories/viewbypass.txt
- Réponse de Lotus : http://support.lotus.com/sims2.nsf/0/73013cc3db3a280685256afc006560be
Documents de Lotus pour concevoir des applications sécurisées :
- Designing a Secure Domino App
- White Paper: A Guide to Developing Secure Domino Applications
