IBM修正Lotus Notes缺陷 黑客可执行任意代码

CNET科技资讯网2月13日国际报道 IBM 公司已经发布一款补丁软件修正了Lotus Notes 中的6 个“高危”缺陷。当用户通过Notes 附件浏览器访问文件时，这些缺陷可以使恶意黑客远程地执行任意的代码。

据发现这些缺陷的安全厂商Secunia 称，这些缺陷影响Lotus Notes 6.5.4 和7.0 ，或者更早的版本。

Secunia 的技术总监克里斯藤森表示，由于有大量的企业用户在使用Lotus Notes ，这是一个大问题。当用户收到带有附件的电子邮件时，他们通常会点击并阅读附件，此时他们的系统就可能受到远程攻击。

IBM 上周发布了Lotus Notes 7.0.1 ，去年12月份发布了Lotus Notes 6.5.5.IBM 在其公告中表示，Secunia 向我们报告了5 个缓冲区溢出缺陷和KeyView 阅读软件中的一个目录遍历软件。

为了成功地利用这些缺陷，黑客需要向用户发送一个经过特别设计的电子邮件附件文件，用户则需要点击并“阅读”该附件。

例如，当用户检查ZIP 文档中一个文件是否存在时就会出现一个缺陷；当用户在Notes 附件阅读软件中解压一个文件名较长的文件时，黑客也可能利用Notes 中的缺陷，引发缓冲区溢出缺陷，远程地执行任意代码。

当利用Notes 附件阅读软件打开具有超长文件名的加密文件时，用户也可能会发现他们的系统受到了攻击。克里斯藤森表示，恶意的加密文件会引发缓冲区溢出缺陷和远程代码执行。

Lotus Notes 发现的其它缺陷包括HTML浏览软件中的一个边界错误。当用户浏览恶意的HTML文档时，黑客可能利用该缺陷，完全控制运行Lotus Notes 的系统。