Jak již bylo dříve oznámeno, Microsoft vydal toto úterý celkem 8 oprav, z nichž 3 jsou hodnoceny jako kritické. Záplaty se týkají Internet Exploreru, SQL Serveru, MS Office a Exchange Serveru. Jasně největší hrozbou je zranitelnost právě posledního produktu.
Útočníkovi v tomto případě ke zneužití stačí pouze poslat na e-mailový server speciálně upravenou zprávu a následně může dosáhnout vzdáleného spuštění libovolného kódu. Uživatel je ohrožen už při otevření e-mailu nebo i při jeho pouhém náhledu, ke spuštění kódu může dojít i při zpracování e-mailu na serveru pomocí služby Information Store. Podvodný e-mail, v němž se skrývá spustitelný kód, musí být ve formátu TNEF (Transport Neutral Encapsulation Format), což je proprietární formát příloh v produktech MS Exchange/Outlook.
Pravděpodobnost zneužití je vysoká. Problému se věnuje bulletin zabezpečení Microsoftu číslo KB MS09-003. Útoky proti této zranitelnosti již téměř jistě probíhají a uvolnění opravy neznamená zdaleka konec problému. Microsoft pokládá chybu za vysoce rizikovou i z hlediska svého Exploitability Indexu.
Rovněž analytici dotazovaní americkým Computerworldem se shodují na tom, že tato chyba je krajně nepříjemná. Andrew Storms z firmy nCircle Network Security uvedl, že si dokonce nemůže vzpomenout na podobně zásadní bezpečnostní díru Exchange Serveru. Ovládnout server může znamenat třeba dostat se ke zde uloženým e-mailům; to je pro řadu firem obsah krajně kritické povahy, nachází se zde často například komunikace se zákazníky, finanční informace či interní směrnice. Získat kontrolu nad serverem Exchange může být pro útočníky navíc prvním krokem k útokům na další firemní systémy.
Další únorové záplaty? Opravy Internet Exploreru se týkají nejrozšířenější verze 7. Jedna chyba se vztahuje ke zpracování kaskádových stylů, druhým problémem je porušení paměti. Také tyto chyby jsou Microsoftem označeny za kritické, analytici se však podivují, proč se netýkají i verze MSIE 6. Oprava MS Office se týká pouze aplikace Visio, která může být zranitelná kvůli chybě při zpracování formátu souborů. Záplata SQL Serveru přináší opravu chyby s již delší historií.
Všechny tyto problémy se ale pokládají za poměrně druhořadé, alespoň ve srovnání s dírou v MS Exchange; u SQL Serveru byl již například dříve zveřejněn způsob, jak problém ne sice vyřešit, ale obejít.
O aktuálních úterních opravách Microsoftu jsme již na SecurityWorldu psali také v článku Opravy Microsoftu: kritická chyba v Internet Exploreru a Exchange Serveru).
Zdroj: Computerworld.com
PŘEDPLATNÉ
ČLÁNKY DO MAILU