DominoArea.org [Archive]

Bonjour,

Avez vous déjà rencontré ce problème ?

Une personne qui n'est pas référencée dans un groupe (ex toto-gp) et ne l'a jamais été, cette dernière accède tout de même aux bases à travers ce groupe lorsqu'on regarde les accès effectif des bases.

Cela n'est pas propre à une base donnée ou un serveur mais concerne tt les bases ou le groupe toto-gp apparait.

Est ce une faille de sécurité ?

PI: DOMINO 6.5.4FP3 Windows 2003 server.

Merci pour vos retours !

Slt,

Tu as essayé de lui vider son cache (suppr de cache.ndk) sur son poste ? sinon repartir avec un fichier desktop d'origine ou encore lui changer son ID ?

Je me suis peut-être mal exprimé.

Mais le problème n'est pas au niveau du poste client ni même au un pb de cache serveur puisqu'ils sont relancés chaque nuit.

Le problème provient probablement du names.nsf.

Cdt

Bonjour,
as-tu effectué une recherche full texte dans l'annuaire avec le nom (ou une partie) de l'utilisateur?

salut

il est possible que ton utilisateur dans un groupe qui ets lui meme (ou via d'autre groupe) déclaré dans laLCA

J'ai eu aussi le pb avec une personne qui avait été renommée

Salut,

Il n'y aurait pas une histoire de "rôles" la dessous ?

J'ai trouvé l'origine du problème que je vous détail ici:

Chaque groupe est contient un champ "ListName" celui correspond au nom du groupe.

Si vous avez suffisament de droit sur l'annuaire entreprise (names.nsf) et donc autorisé à modifié ce champ. Il vous suffit d'ajouter le nom d'un groupe existant séparé par un ";" pour que votre groupe prenne les droits du second.

Autrement dit vous êtes gestionnaire d'un groupe A qui est lecteur sur tt les bases du domaine et vous ajouter dans le champ listName un groupe Z qui est gestionnaire sur tout le domaine.
Résultat => Les membres du groupe A hériteront des droits du groupe Z.

Je trouve ça limite au niveau sécurité et visiblement ce problème existe en version 8.5

A noter qu'il y a bien évidement une condition à l'utilisation de cette faille, il faut être autorisé à modifier les groupes dans le names ce qui n'est pas donner à tt le monde.

Bullit