Aktuální bezpečnostní hrozby

Zranitelný Sendmail Verze 8.13.6 populární aplikace Sendmail opravuje kritickou zranitelnost v předchozích variantách. ...


Zranitelný Sendmail
Verze 8.13.6 populární aplikace Sendmail opravuje kritickou zranitelnost v
předchozích variantách. Útočník totiž může využitím vnitřní chyby získat
kontrolu nad zranitelným systémem a přistupovat k e-mailovým zprávám ve
schránkách na tomto serveru. Zranitelnost se týká pouze linuxových verzí
systému, verze pro Windows ohroženy nejsou. První variantou řešení problému
(doporučenou dodavatelem) je přejít na novou verzi Sendmailu, druhou pak
aplikace záplat na verze starší. Podrobnosti o zranitelnosti lze nalézt na
webové stránce www.sendmail.org/8.13.6.html.

Internet Explorer
Objevena byla zranitelnost v prohlížeči Internet Explorer, která může vést ke
kompromitaci zasaženého systému. Na vině je chyba ve zpracování metody volání
"createTextRange()", díky níž může úspěšný útok záškodníka vést až k poškození
dat v paměti a také k následnému spuštění útočného kódu. Podotýkáme, že se
nejedná o zranitelnost teoretickou, nýbrž reálně nebezpečnou: kódy schopné
tento útok úspěšně provést kolují již na internetu. Zasažen je Internet
Explorer 6.0 i s plně záplatovaným systémem XP SP2 a pravděpodobně i starší
verze. Chyba byla objevena rovněž v IE 7 Beta 2 Preview (leden 2006; vydání z
března 2006 už jí není zasaženo). V době uzávěrky tohoto Computerworldu na tuto
extrémně kritickou chybu vydaly záplaty firmy eEye Digital Security a
Determina, Microsoft tak prý hodlá učinit až 11. dubna. Prozatímním řešením
také může být vypnutí podpory Active Scripting v IE.

Chyby v RealPlayeru
Na několik zranitelností v multimediálních přehrávačích RealPlayer,
RealOnePlayer, Rhapsody a Helix Player byla vydána aktualizace. Například jedna
ze zranitelností umožňuje lokálnímu uživateli zvýšit svá práva, další tři chyby
pak vedou k přetečení zásobníku. V době uzávěrky tohoto Computerworldu nebyly
známé žádné prakticky proveditelné scénáře útoků, přesto je aktualizace
rozhodně doporučená pro uživatele příslušných aplikací (nezasažené jsou pouze
verze pro produkty Nokia Series60 a Palm).

BEA WebLogic
Uveřejněno bylo šest varování týkajících se zranitelností produktů WebLogic
Server 6.1, 7.0 a 8.1 či WebLogic Portal 8.1. Odhalené chyby umožňují
útočníkovi získat přístup k citlivým informacím, obejít bezpečnostní omezení
nebo způsobit odepření služby. Uživatelé software BEA WebLogic najdou informace
o zranitelnostech na webové stránce dev2dev.bea.com/advisoriesnotifications/.

Aktualizace Debianu
Pro linuxovou instalaci Debian byla vydána nová aktualizace, která odstraňuje
několik známých chyb. Ty mohou být útočníky zneužity ke kompromitaci
zranitelných systémů. Ve stejných dnech vydal Debian rovněž aktualizaci pro
kancelářský software Koffice a pro kernel 2.4.27 (kde odhalené slabiny mohly
být zneužity útočníky k eskalaci práv, útoku odepření služby či překonání
bezpečnostních nastavení).

IBM Tivoli
Další objevená zranitelnost zasahuje produkt IBM Tivoli Business Systems
Manager. Vzdálený neoprávněný uživatel díky ní může provést útok Cross-Site
Scripting. Skript apwc_win_main.jsp totiž nepřesně filtruje HTML kód, což
umožňuje útočníkovi vytvořit speciální URL vedoucí ke spuštění nebezpečného
kódu v uživatelově prohlížeči. Na problém již byla vydána příslušná záplata.









Komentáře
K tomuto článku není připojena žádná diskuze, nebo byla zakázána.