Aktuální bezpečnostní hrozby

Ve skenovacím antivirovém stroji firmy Symantec se objevilo několik vážných chyb. Stroj je zranitelný tím, že při p


Ve skenovacím antivirovém stroji firmy Symantec se objevilo několik vážných
chyb. Stroj je zranitelný tím, že při přihlašování nedostatečně autentizuje
uživatele z webu. Za určitých okolností tak může útočník tuto autentizaci
obejít. Dále stroj používá pro SSL komunikaci statický DSA šifrovací klíč,
který ale může být extrahován a agresor jej následně může použít k útokům,
pokud se vydává za korektní komunikující stranu. Třetím problémem pak je, že
vzdálený uživatel může poslat speciální HTTP požadavek pro přístup k lokálním
souborům nastavení, čímž získá přístup k lokální konfiguraci, logům, virovým
definicím apod. Řešením je přechod na novou verzi 5.1.

Zranitelnosti u Cisca
Společnost Cisco Systems vydala dvě bezpečnostní doporučení. Její produkty
Cisco IOS XR a CiscoWorks Wireless LAN Solution Engine (WLSE) totiž obsahují
několik závažných chyb. Tři zranitelnosti jsou lokalizovány v řešení Multiple
Multi Protocol Label Switching (MPLS) běžícím na operačním systému Cisco IOS
XR, lze ho nalézt například v routerech CRS-1 a v produktové řadě Cisco 12000.
Kvůli těmto chybám může útočník provést DoS útok. Další dvě zranitelnosti byly
potvrzeny v produktu CiscoWorks WLSE. První z nich představuje možnost eskalace
práv po útoku útočníka, druhá zase problém spojený s cross-site scriptingem.

Java 2 pro Apple
Apple vydal Release 4 produktu Java 2 Standard Edition (J2SE) pro Mac OS X
v10.4.5. Jedním z důvodů aktualizace je odstranění několika zranitelností ve
virtuálním Java stroji. Chyby v Javě jsou totiž obzvláště nebezpečné, neboť
virtuální prostředí jsou hardwarově i softwarově nezávislá. Jedna z chyb
například umožnila nedůvěryhodnému Java apletu zvýšit jeho práva a vykonat tak
akce, které by neměl vůbec být schopen dělat (jde mimo jiné o čtení nebo zápis
do souborů nebo spouštění lokálních aplikací).

Aktualizace pro Oracle
Oracle se drží politiky vydávání aktualizací a bezpečnostních doporučení jednou
za čtvrt roku. V nejnovější "dávce" se tak nahromadilo řešení zhruba třiceti
zranitelností. Mnoho z nich je přitom kritických, neboť umožňují přístup k
elektronickým datům nebo jejich modifikaci. Vzhledem k velkému počtu chyb a
jejich závažnosti doporučujeme navštívit webové stránky společnosti Oracle.

Lotus Notes Address Book
Společnost IBM oznámila zranitelnost v klientských systémech Lotus Notes 6, jež
může vést mimo jiné k odeslání e-mailů na špatnou adresu. Problém spočívá v
nekorektním řízení Personal Address Book v notesovském klientovi. Zasaženy jsou
pouze verze aplikace 6.x verze 5.x a 7.x nikoliv. IBM už pro tento problém
vydalo příslušnou záplatu.

Novell GroupWise
Kritická chyba byla nalezena v aplikaci Novell GroupWise Messenger. Může být
zneužita vzdálenými útočníky k zadání určitých příkazů se systémovými právy.
Zranitelnost je způsobena přetečením zásobníku v produktu Messaging Agent (port
83000/TCP), kde není ošetřeno zpracovávání neobvykle dlouhých hlaviček
"Accept-Language". Zasažena je verze Novell GroupWise Messenger 2.0. Řešením
problému je podle výrobce přechod na GroupWise Messenger 2.0 Public Beta 2.









Komentáře
K tomuto článku není připojena žádná diskuze, nebo byla zakázána.