发布日期：2000-11-27
更新日期：2000-11-27

受影响系统：

Lotus Notes Client R5

描述：

---

Lotus Notes Client R5 是一个内嵌在WWW浏览器中的消息通信工具，浏览器为此单
独实现了一个针对Lotus Notes的JAVA虚拟机。但是这个JVM中存在一个安全漏洞，其
可执行控制列表(ECL)允许攻击者确认受攻击系统中是否存在某个文件。

JDK 1.1中标准实现禁止访问任何本地资源，而这个ECL提供了一个相对宽松的限制。
当java applet使用java.lang.ClassLoader类中的getSystemResource()方法，企图
访问某个确实存在的本地资源时，该ECL将提供给用户一个对话框，以决定是否继续
执行。

如果一个本地资源确实存在，由于对话框的显示、消隐、用户交互模式的出现，
java applet执行时间显然与被访问本地资源不存在情形下相差较大。恶意的攻击者
可以在自己的主页上精心设计这样一个java applet，以确定访问该页面的远程客户
主机上存在哪些敏感文件。

<* 来源：Yasuyuki Endo & Hiromitsu Takagi (takagi@etl.go.jp) *>



测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

Hiromitsu Takagi提供了如下演示页面：
http://java-house.etl.go.jp/~takagi/java/security/lotus-notes-existence-attack/Test.html



建议：

---

临时解决方案：

    NSFOCUS建议您在厂商提供正式补丁之前暂时关闭对java applet的支持。

厂商补丁：

暂无


浏览次数：5599
严重程度：0（网友投票）