Microsoft zveřejnil obří záplatu pro PowerPoint

Jak se očekávalo, Microsoft uvedl druhé úterý v tomto měsíci záplatu pro jediný produkt – PowerPoint. Očekávalo se, že půjde o opravu již více než měsíc známé zranitelnosti.

Viz také: Microsoft vydá jen jedinou opravu – pro PowerPoint
Útočníci se pokoušejí zneužít kritickou chybu v PowerPointu

Překvapivé ale je, že jediná aktualizace opravuje hned 14 zranitelností, z nichž celých 11 Microsoft hodnotí jako kritické. Opravy jsou určeny pro všechny verze pro Windows od Office 2000 po Office 2007. Tři chyby ale obsahuje rovněž verze pro MacOS (verze MS Office 2004 a 2008), kterou Microsoft zatím neopravil. Jedná se o první případ, kdy Microsoft vydává záplatu, ale přitom není schopen opravit všechny (podporované) verze svých produktů. Jonathan Ness z Microsoft Security Response Center to uznal a prohlásil za výjimečný případ, uvedl ovšem, že firma nechtěla kvůli tomu čekat s aktualizací, která ochrání drtivou většinu uživatelů. Navíc žádný ze zachycených kódů, které se snažily o zneužití, se verze pro MacOS údajně netýkal.

Analytici oslovení amerických Computerworldem uvádějí, že je rozhodně dobře, že Microsoft s opravami nečekal až na příští měsíc, protože už probíhaly útoky zero-day, při nichž ke vzdálenému spuštění kódu stačilo uživateli podvrhnout škodlivý soubor ve formátu PPT.

Na většinu zranitelností upozornila společnost VeriSign iDefense, která podobně jako TippingPoint s nalezenými zranitelnostmi obchoduje, respektive platí lidem, kteří je objeví. Tento měsíc takto získala 10 exploitů (z celkového počtu 14 chyb), přičemž většinou se produktů Microsoftu týká 1 zranitelnost, méně často 2, občas žádná.

Nejvíce problémů má verze MS Office 2000, kde jsou všechny zranitelnosti hodnoceny jako kritické, u novějších verzí má závažnost většiny chyb nižší statut. Andrew Storms z firmy nCircle Network Security uvedl pro americký Computerworld, že tento případ stejně jako chyba v Excelu z letošního února ukazuje, že novější verze jsou prostě bezpečnější.

Microsoft také z bezpečnostních zakazuje otevírání souborů PowerPoint 4 (tj. verze 2000 a 2002) v novějších verzích. Kdo by to nutně potřeboval, může to dovolit úpravou registrů (viz návod Microsoftu na MS Knowledge Base).