Aktuální bezpečnostní hrozby

Mozilla Thunderbird V populárním poštovním klientu Mozilla Thunderbird byla objevena chyba v systému zobrazování infor...


Mozilla Thunderbird
V populárním poštovním klientu Mozilla Thunderbird byla objevena chyba v
systému zobrazování informací o přílohách e-mailových zpráv. Zranitelnost
spočívá v tom, že vhodnou kombinací dlouhých názvů přiložených souborů společně
s mezerami a úpravou hlavičky zprávy může dojít k zobrazení ikony a přípony
souboru, které neodpovídají skutečnosti. Jinými slovy: může takto dojít k
podvedení uživatele, který následně nemusí být dostatečně opatrný. Uživatelé
aplikace Mozilla Thunderbird byli vyzváni k tomu, aby přešli na verzi 1.5,
která již není dotyčnou chybou dotčena.

Chyby v Oraclu
V několika produktech od firmy Oracle (konkrétně jde o Application Server,
Application Server 10g, HTTP Server 9.x a HTTP Server 8.x) se objevila chyba,
která vzdáleným útočníkům umožňuje obejít bezpečnostní mechanismy a získat
neautorizovaný přístup do zranitelných systémů. Problém je způsoben chybou ve
vstupním ověření na PL/SQL komponentě, která neumožňuje správně nakládat se
záměrně upravenými http požadavky. Takto modifikovaný požadavek umožňuje
neautorizovaným osobám obejít seznam PLSQLExclusion, a získat tak přístup do
oblasti dovolující kompromitovat databázový server.

Doporučení od BEA
BEA vydala 14 bulletinů oznamujících různé bezpečnostní problémy týkající se
především produktů WebLogic Server, WebLogic Express a WebLogic Portal.
Vzhledem k množství problémů, jejich složitosti a rozmanitosti doporučení je
dobré v případě používání softwaru od BEA tyto bulletiny projít přímo na
webových stránkách společnosti.

Sun Directory Server
V systému nápovědy Sun Directory Server (Netscape Directory Server) byl nalezen
bezpečnostní problém, který umožňuje na zasažených systémech spustit škodlivý
kód. Díky zmíněnému nedostatku může vzdálený uživatel způsobit přetečení
zásobníku (buffer overflow) ve volbách nápovědy na administrátorských
stránkách. Aby toho dosáhl, musí poslat speciálně upravený požadavek na
Management Console. Za jistých okolností dokonce může administrátorská
oprávnění získat i lokální útočník.

Dvakrát Debian
Debian vydal aktualizaci pro systém Drupal. Ta opravuje některé nedostatky,
které mohou být zneužity útočníky snažícími se překonat jisté bezpečnostní
omezení vložení (škodlivého) skriptu a/nebo útok typu http splitting. Dále
Debian vydal aktualizaci pro aplikaci Imagemagick. Tento patch opravuje
zranitelnost, která může být zneužita útočníky ke kompromitaci systému a
získání kontroly nad ním.

Cisco VPN 3000
V produktu Cisco VPN 3000 Concentrator byla odhalena zranitelnost, která při
zneužití útočníky může způsobit útok typu DoS. Zranitelnost je způsobena chybou
při zpracování http paketů a může po zaslání speciálně modifikovaného http
paketu na koncentrátor zapříčinit restartování síťového zařízení nebo ukončení
navázaného spojení. Podmínkou provedení úspěšného útoku je aktivace http služby
(což je v základním nastavení). Zranitelnost byla oznámena ve verzích 4.7.0 až
4.7.2.A (včetně 4.7REL). Verze před 4.7.x nejsou ohroženy. Řešením je přechod
na verzi 4.7.2.B nebo vyšší, nebo zákaz http služby.









Komentáře
K tomuto článku není připojena žádná diskuze, nebo byla zakázána.