Октябрь 16, 2005
MS выпустила патчи для IE и Windows
Корпорация Microsoft выпустила очередной кумулятивный патч для браузера Internet Explorer различных версий.
Обновление устраняет опасную уязвимость, которая теоретически позволяет злоумышленникам получить несанкционированный доступ к удаленным компьютерам. В случае успешной реализации атаки нападающие могут выполнять на машине жертвы произвольные операции, в том числе устанавливать новые программы, просматривать, модифицировать или удалять файлы, а также создавать дополнительные пользовательские аккаунты с правами администратора. Проблема связана с ошибками, возникающими при обработке COM-объектов. Сценарий атаки сводится к созданию и размещению в интернете специальной веб-страницы. При просмотре такого сайта с помощью Internet Explorer на машине жертвы происходит повреждение данных в памяти, что провоцирует запуск вредоносного кода. Брешь, охарактеризованная как критически опасная, присутствует в браузерах Internet Explorer версий 5.0, 5.5 и 6.0. Кроме того, корпорация Microsoft устранила другую дыру в IE версии 6.0 (при работе на компьютерах с операционной системой Windows 2000 и четвертом сервис-паком). Уязвимость позволяет без ведома пользователя изменить директорию для сохранения загружаемых с FTP-сервера файлов со специально сформированным именем. Впрочем, сама по себе данная брешь не может использоваться с целью захвата контроля над удаленной машиной, и поэтому получила статус умеренно опасной.
Кроме того во вторник, 11 октября корпорация Microsoft выпустила очередную серию патчей для своих программных продуктов. Наибольшее количество дыр обнаружено в операционных системах Windows различных версий, причем некоторые из уязвимостей могут использоваться с целью получения полного доступа к удаленным компьютерам. Критически опасная брешь обнаружена в службе координации распределенных транзакций Microsoft (Microsoft Distributed Transaction Coordinator, MSDTC). Для реализации нападения необходимо послать жертве сформированные специальным образом запросы. В случае успешного проведения атаки злоумышленники получат возможность выполнить на машине произвольные деструктивные действия. Дыра представляет наибольшую угрозу для пользователей ОС Windows 2000, однако патчи также настоятельно рекомендуется загрузить и на компьютеры с Windows ХР и Windows Server 2003. Еще одна уязвимость, охарактеризованная как критически опасная, выявлена в модуле DirectShow. Для проведения атаки достаточно вынудить жертву открыть специально созданный файл в формате AVI, обработка которого спровоцирует ошибку переполнения буфера и последующий запуск произвольного вредоносного кода. Брешь присутствует в операционных системах Windows 98/ME/200/XP, а также Windows Server 2003. Несколько дыр в Windows получили статус важных. Одна из этих уязвимостей связана с особенностями обработки операционными системами определенных HTML символов в полях предварительного просмотра и сформированных специальным образом файлов с расширением LNK. Теоретически брешь позволяет получить несанкционированный доступ к удаленному компьютеру. Заплатки рекомендуется установить пользователям Windows 2000, Windows ХР и Windows Server 2003. Дыра в компоненте Collaboration Data Objects (CDO) также может применяться для выполнения произвольного кода на машине, для чего нужно послать жертве особые пакеты данных. Уязвимость присутствует в Windows 2000/ХР/Server 2003 и Microsoft Exchange 2000 Server. Две другие опасные уязвимости найдены в службах Plug and Play и Client Service for NetWare (CSNW). В обоих случаях результатом атаки может стать выполнение произвольного программного кода на ПК жертвы. Заплатки выпущены для операционных систем Windows 2000 и Windows ХР, а в случае с дырой в CSNW - еще и для Windows Server 2003 (в том числе с первым сервис-паком). Наконец, еще одна уязвимость в Windows охарактеризована как умеренно опасная. Проблема связана со службой контроля сетевых соединений Network Connection Manager. Направив жертве серию специальных пакетов данных, нападающий может спровоцировать DoS-атаку. Патчи выпущены для операционных систем Windows 2000, Windows ХР и Windows Server 2003.
Автор:
Источник: STFW.RU