Aktuální bezpečnostní hrozby (zranitelnosti a chyby softwaru)

Jaká jsou současná rizika ohledně využívání některých softwarových řešení či jiných služeb ukazuje naše pravidelná rubrika.


IBM WebSphere MQ
Dvě zranitelnosti se objevily v produktu IBM WebSphere MQ (verze 6.0 až 7.0.1). První z nich může vzdálený uživatel zneužít k provedení útoku DoS (Denial of Service): chyba se přitom nachází v procesu rriDecompress. Dopad druhé zranitelnosti nebyl zveřejněn. Výrobce již na obě chyby vydal příslušnou aktualizaci.

McAfee Appliance
Chyba v řešeních McAfee Email Appliance a Web Security Appliance umožňuje vzdálenému uživateli, aby si prohlédl soubory na chráněném systému - navzdory tomu, že nemá odpovídající oprávnění (na přístup k souborům ani k systému). Potřebuje jen vytvořit speciální požadavek, který skrze přístupová práva appliance umožní zobrazit soubory na cílovém zařízení. V době uzávěrky tohoto Computerworldu nebyla k dispozici žádná oprava problému.

Kaspersky Online Scanner
Vzdálený (a neoprávněný) uživatel může zneužít chyby v aplikaci Kaspersky Online Scanner k tomu, aby spustil škodlivý kód na skenovaném systému. Dojde k tomu po zneužití upraveného HTML kódu, který dokáže zranitelnost zneužít. V době uzávěrky tohoto Computerworldu nebyla k dispozici žádná oprava.

Cisco NX-OS
Stavu odepření služby v aplikaci Cisco NX-OS může vzdálený agresor využít poté, co vytvoří a pošle upravený TCP paket. Ten způsobí zamrznutí stavu FINWAIT 1, což může být zneužito k následnému odepření síťových spojení. Problém se týká systému NX-OS na platformě Nexus 5000 do 4.0(1a)N2(1); oprava již byla vydána.

Chyba v OpenOffice
Vzdálený uživatel může zneužít chybu v OpenOffice (ve verzích starších než 3.1.1), jejímž důsledkem je možnost spuštění škodlivého kódu na zasaženém systému. Musí jen vytvořit soubor obsahující takové záznamy, jejichž nahrání spustí lavinu jménem buffer overflow. To umožňuje aktivaci škodlivého kódu, který bude spuštěný s právy aktuálně přihlášeného uživatele. Opravená verze OpenOffice 3.1.1 již byla vydána.

VMware Studio
Aplikace VMware Studio obsahuje chybu, s jejíž pomocí může neoprávněný vzdálený útočník vkládat soubory na lokální úložiště. Důvodem je skutečnost, že webové rozhraní nedostatečně prověřuje uživatelem dodané hodnoty: neoprávněná osoba tak může traverzovat po cílovém úložišti dat, přičemž jí nic nebrání vkládat do něj data (škodlivé kódy, dezinformace...). Zasažená je jen verze 2.0 beta, oprava již byla vydána.

Zranitelnost v MySQL
Spustit škodlivý kód na cílovém systému - přesně to je důsledek chyby v databázi MySQL. Vzdálený uživatel tak může vytvořit a poslat data, která způsobí přetečení zásobníku, což může vést ke spuštění malwaru na zasaženém systému. Kód bude spuštěný s právy zranitelné služby. V době uzávěrky tohoto Computerworldu nebyla k dispozici žádná oprava.

XML Security Library
Zranitelnost v XML Security Library (xmlsec) umožňuje neoprávněným uživatelům zfalšovat digitální certifikáty. Útočník může zneužít chybu v ověřování XML digitálních certifikátů založených na seznamu HMAC. Chyba se projeví třeba v aplikacích, které využívají elektronický podpis: útočník tak může obejít autentizační procesy. Přesný dopad zranitelnosti se přitom liší aplikace od aplikace. Oprava je již k dispozici.











Komentáře