SecurityWorld | 06.03.10
Microsoft v úterý vydá 2 bezpečnostní záplaty, které odstraní 8 zranitelností ve Windows a Office. Bulletiny zabezpečení Microsoftu hodnotí všechny opravované chyby jako důležité, nikoliv kritické – ačkoliv některé ze zranitelností zřejmě za určitých okolností mohou na nechráněném PC způsobit spuštění škodlivého kódu.
Andrew Storms z firmy nCircle Network Security uvádí, že pokud Microsoft hovoří o možnosti vzdáleného spuštění kódu, ale současně neoznačuje zranitelnost jako kritickou, znamená to obvykle, že problém by neměl zasáhnout většinu uživatelů: například proto, že dostatečnou ochranu proti útoku poskytuje výchozí nastavení, nebo proto, že zranitelnost se týká komponenty, kterou bylo třeba nainstalovat dodatečně.
Jeden z bulletinů zabezpečení se týká všech verzí Windows od XP po Windows 7 bez ohledu na aktualizace Service Pack nebo na to, zda se jedná o 32bitovou nebo 64bitovou verzi. Druhý pak popisuje chybu v celé řadě verzí Excelu (pro Windows i MacOS) a v souvisejících konverzních nástrojích. Zranitelný je v tomto případě i nejnovější Excel 2007 SP2, který byl např. z hlediska problému při importu souborů pokládán dosud za bezpečný. Ke zneužití je ale potřeba opravdu otevřít příslušný podvržený soubor, není možný jednoduchý útok přes síť (náhled přílohy v e-mailu apod.).
Neopravená zůstává chyba v SMB (Server Message Block), jež se týká nejnovějších systémů Windows 7 i Windows Server 2008 R2. Tento problém umožňuje shodit systém, ale útočník s ním nemůže manipulovat, takže Microsoft nepokládá problém za záležitost zabezpečení. Rovněž tak neopravená zůstává nedávno objevená chyba v implementaci VBScriptu, která hrozí uživatelům Internet Exploreru při zpracování souborů ve formátu HLP. Zbývá pouze zopakovat doporučení nepoužívat na podezřelých webech klávesu F1 (Další zero day zranitelnost v Internet Exploreru).
Andrew Storms na americkém Computerworldu spekuluje, že zejména absence opravy SMB může být nápadná, protože chyba byla objevena už v listopadu. Možná se podle něj při testování záplaty přišlo na nějaké související zranitelnosti a Microsoft chce opravit vše najednou.
Sdílet
Komentáře