Cisco Secure Desktop
Vzdálený uživatel může provést XSS (cross-site scripting) útok proti aplikaci Cisco Secure Desktop. Problém se týká minimálně verze 3.4.2048, pravděpodobně ale i dalších. Potíž je v tom, že nedochází k dostatečnému filtrování vstupního HTML kódu předtím, než je zpracován a zobrazen. Útočník může díky tomu vytvořit požadavek POST, který je vložený do kódu webu – a následně se pokouší aktivovat na počítačích těch uživatelů, kteří si stránku zobrazí. Kód je spouštěný v bezpečnostním kontextu jejich prohlížeče. Výsledkem činnosti kódu tak může být přístup k uživatelským cookies (včetně těch autentizačních), datům vloženým do formulářů nebo na napadeném webu vykonávat činnost vydávaje se za dotyčného uživatele. Oprava (3.5) již je k dispozici.
Google Chrome
Stále populárnější prohlížeč od Google obsahuje ve verzích před 4.0.249.78 několik chyb. Tyto mají široký dopad: počínaje možností spuštění škodlivého kódu přes obejití některých bezpečnostních nastavení (například blokování pop-up oken) a vytvoření podmínek odepření služby (DoS) až po neoprávněný přístup k citlivým informacím. Všechny tyto problémy jsou zneužitelné skrze modifikaci HTML dokumentů, které jsou prohlížečem zobrazované. Aktualizace celé aplikace už byla vydána.
Oracle TimesTen
Díky chybě v aplikaci Oracle TimesTen (verze 7.0.5) ji může vzdálený útočník shodit, a to s pomocí upraveného požadavku poslaného na TCP port 1700 (služba timestend). Demonstrační exploit má následující podobu: GET hello?" + "&"*10000 + "=a HTTP/1.0\r\n\r\n. V době uzávěrky tohoto Computerworldu nebyla k dispozici žádná oprava.
OpenView SDP
Lokální uživatel může získat ve verzích 6.0 a 6.1 aplikace HP OpenView Storage Data Protector přístup k uloženým datům, a to i v případě, že nevlastní příslušná oprávnění. Detaily, jakým způsobem toho lze dosáhnout, však nebyly zveřejněny. Každopádně výrobce již vydal příslušnou bezpečnostní záplatu, která problém opravuje.
Xerox WorkCentre
Díky chybě v Xerox WorkCentre může vzdálený uživatel neoprávněně přistupovat k obsahu e-mailových schránek nebo studovat konfiguraci této aplikace (nikoliv ale administrátorská či uživatelská hesla). Problém se týká nasazení v Network Controlleru a Web Serveru, a to u verzí 5632, 5638, 5645, 5655, 5665, 5675 a 5687. Oprava (fix 41) již byla vydána.
Zranitelnost v IBM DB2
Odepření služby vyvolané vzdáleným uživatelem – přesně to je situace, kterou lze vyvolat s pomocí chyby v IBM DB2 (verze 9.7 FP1). Pokud chce tohoto jevu agresor dosáhnout, pošle modifikovaná data agentovi Tivoli Monitoring na TCP port 6014, v důsledku čehož služba spadne. V době uzávěrky tohoto Computerworldu nebyla vydána oprava.
Přetečení v RealPlayeru
Verzí 10.x a 11.x přehrávače RealPlayer se týká problém s přetečením zásobníku. Jeho důsledkem může být například aktivace škodlivého kódu, který poběží s právy aktuálně přihlášeného uživatele. Problém je možné aktivovat s pomocí různých datových formátů, například jde o GIF. Výrobce již vydal příslušnou aktualizaci programu.
PŘEDPLATNÉ
ČLÁNKY DO MAILU