关于IBM Lotus Domino WebMail 存在口令信息泄漏漏洞的解决方法

[HBaby]

问题的描述：

受影响系统：

IBM Lotus Domino R6 WebMail
IBM Lotus Domino R5 WebMail

详细描述：

IBM Lotus Domino WebMail是IBM消息传递解决方案组件，提供基本的基于浏览器的Lotus Domino电子邮件访问。

Lotus Domino处理储存用户口令的过程存在问题，可能造成信息用户口令信息泄露。

默认下Lotus Domino的主目录数据库names.nsf是所有用户都可读的，因此，所有用户都可以浏览人员项。在非特权用户浏览人员项时，“Internet Password”字段是空的，表示用户不能浏览口令哈希。但是，如果编辑了Web页面的话（在Internet Explorer中“查看源文件”），“HTTPPassword”隐藏字段会包含有口令哈希。

其他显示为空的字段也存在类似的问题。攻击者可以利用类似漏洞检索到的重要信息还有口令变更日期、客户端平台、客户端机器名称、客户端Lotus Domino版本等。

[HBaby]

通过以下方法已将此问题解决:
1) 打开$PersonalInheritableSchema子表单。
2) 找到以下字段：$dspHTTPPassword和HTTPPassword。
3) 在以上两个字段的字段属性中，在“隐藏段落”的隐藏选项卡中清除选择“Web 浏览器”。
4) 打开“个人”表单。
5) 在表单属性的第二个选项卡中，禁用“产生所有域的HTML”选项。

注：在R5中，3）和5)是在一起的，同时还需要注意R5的Domino最好只用R5的管理端进行修改。

[mvp3]

好贴，收着先

[长颈叔叔]

得到的只是经过加密的口令，除非进一步破解，否则仍然无法得知真正的口令。

[lihe37]

原帖由 HBaby 于 2005-11-26 12:45 PM 发表
通过以下方法已将此问题解决:
1) 打开$PersonalInheritableSchema子表单。
2) 找到以下字段：$dspHTTPPassword和HTTPPassword。
3) 在以上两个字段的字段属性中，在“隐藏段落”的隐藏选项卡中清除选择“Web ...
不好意思，请问从哪里打开啊？
好恐怖啊，所有的信息都可以看的见的说！