Zářijové bezpečnostní záplaty od Microsoftu
Rok se s rokem sešel a je tu opět zářijová dávka bezpečnostních aktualizací pro software od Microsoftu. Ptáte se, čím je září tak výjimečné, že si zasloužilo nepatrně odlišný úvod, když záplaty vycházejí (skoro) každý měsíc? Je to totiž už čtvrtý rok, kdy je září měsícem, v němž se těch záplat urodí oproti ostatním měsícům nezvykle málo. V roce 2004 jen dvě, zrovna tak v roce 2005, loni tři a letos vychází na září záplaty čtyři, což je v porovnání s devíti z minulého měsíce množství, které už se dá bez nadsázky nazývat zlomkem (pro zajímavost: loňský srpen jich bylo dokonce dvanáct). Možná vám na konci roku vytvoříme s prosincovým vydáním nějaké zajímavé „koláčky“, nyní však k tomu, co se včera urodilo: jen jedna z nich je kritická a ta je navíc určena pro Windows 2000, systém, který byl již v domácnostech vytlačen Windows XP, avšak ve firmách tomu tak ještě zdaleka není. Další dvě „důležité“ už se netýkají ani tak samotných Windows, jako jejich doplňků, jmenovitě MSN Messenger či Windows Services for UNIX. A pak tu máme jednu (také „důležitou“), která je o různých verzích vývojářského Visual Studia, konkrétně součásti Crystal Reports. Směle do záplatování…
Díra v Microsoft Agentovi umožňuje vzdálené spuštění kódu
Na scénu opět přichází Merlin a jeho kamarádi, kteří mají opět děravý kabát. „Opět“ proto, že tato záplata nahrazuje letos v dubnu vydanou, kterou popisuje Security Bulletin MS07-020, to měl Merlin také nějaké problémy s bezpečností, tentokráte se to naštěstí týká jen Windows 2000. Animovaných Microsoft Agentů se můžete přitom zbavit tak snadno (%windir%\msagent\agentsvr.exe /unregserver), eventuelně můžete nastavit tzv. „kill bity“ pro ActiveX prvky s MS Agentem související, neboť právě skrze Internet Explorer může dojít ke spuštění kódu útočníka na patřičně vytvořené stránce napadením kýžených ActiveX prvků. Jak na to a další podrobnosti se můžete dočíst v Microsoft Security Bulletinu MS07-051, případně to nechte na bezpečnostní záplatě, na níž odkazy ke stažení nyní následují (KB938827):
Díra v Crystal Reports pro Visual Studio umožňuje vzdálené spuštění kódu
Jelikož nepředpokládáme, že doma aktivně používáte Crystal Reports nebo Visual Studio, tak jen krátce. Za tuto díru nemůže ani tak samotná firma Microsoft, jako spíše BusinessObjects, která za CrystalReports stojí, Microsoft jen ve Visual Studiu používá její trochu upravenou verzi, která je pak součástí Visual Studia. I tak je Visual Studio podle Microsoftu jedinou vývojářskou platformou, kde se dá „k úrazu přijít“, takže pokud používáte Crystal Reports s něčím jiným, můžete zůstat v klidu. K napadení by mohlo podle scénáře Microsoftu dojít otevřením patřičně upraveného RPT souboru, který se k vám může dostat třeba e-mailem od útočníka. Díra je navíc již známá veřejnosti, ale po pravdě řečeno bych chtěl vidět toho zoufalce, co by se s vytvářením a rozesíláním patřičného souboru babral, když je ve Visual Studiu ve výchozím nastavení otevírání RPT souborů pouhým poklepáním vypnuto. Pokud máte zájem o další podrobnosti, prostudujte si Microsoft Security Bulletin MS07-052.
Odkazy ke stažení:
- Visual Studio .NET 2002 SP1 (KB937057): anglické
- Visual Studio .NET 2003 (KB937058): anglické
- Visual Studio .NET 2003 SP1 (KB937059): anglické
- Visual Studio 2005 (KB937060): anglické
- Visual Studio 2005 SP1 (KB937061): anglické
Díra ve Windows Services for UNIX umožňuje zvýšení práv
Windows Services for UNIX 3.0, Windows Services for UNIX 3.5 a subsystém pro UNIXové aplikace ve Windows Vista a Windows Serverech 2003 mají jistou díru ve zpracování setuid binárních souborů, takže existuje jistá možnost, že si s jejich pomocí uživatel, který je spustí, zvýší na daném počítači práva, aby s ním mohl dělat více, než by měl. O této zranitelnosti se navíc již veřejně ví, byť se asi nedostane do rukou každému (u Microsoftu se píše o jakési „omezené distribuci“). Faktem však je, že zranitelná komponenta není ve výchozí konfiguraci Windows nainstalována nebo povolena, takže riziko zneužití je relativně malé, i když označením této záplaty za důležitou chce asi Microsoft naznačit, že by se to nemělo brát na lehkou váhu. Kdo chce znát další podrobnosti, nechť si projde Microsoft Security Bulletin MS07-053.
Odkazy ke stažení (KB939778):
- Windows 2000 SP4, Windows XP SP2 a Windows Server 2003 SP1 a SP2:
- Subsystem for UNIX-based Applications:
- Windows Server 2003 SP1 a SP2: český a anglický
- Windows Server 2003 x64 bez a se SP2: anglický
- Windows Vista: 32bitové a 64bitové (x64)
Díra v MSN Messengeru a Windows Live Messengeru umožňuje vzdálené spuštění kódu
V MSN Messengeru 6.2, 7.0, 7.5 a Windows Live Messengeru 8.0 byla objevena a pro jistotu i zveřejněna díra, kterou může útočník zneužít ke spuštění vlastního kódu na počítači uživatele, pokud tento akceptuje výzvu k zahájení webcam nebo video chat spojení. Uvedené verze Messengerů si nedostatečně hlídají data při navázání spojení, takže patřičně vytvořená webcam nebo video chat session může způsobit porušení části paměti způsobem, který umožňuje útočníkovi spustit na takto napadeném PC vlastní kód. Aktualizace se doporučuje i v případě, že žádnou webkameru s Messengerem nepoužíváte.
Pokud se nyní přihlásíte do MSN Messengeru, měl by vám sám nabídnout aktualizaci a vyzývat vás k ní po každém přihlášení. Verze, které jsou již vůči této chybě imunní, jsou MSN Messenger 7.0.0820 (doporučeno jen pro Windows 2000, ale podporovány jsou i Windows XP a některé starší systémy Windows) a Windows Live Messenger 8.1. Pro Windows 2000 (s podporou XP) je k dispozici samostatný instalátor MSN Messengeru 7.0.0820, u ostatních systémů by měla proběhnout instalace Windows Live Messengeru 8.1 po přihlášení do služby Messenger. Microsoft hodlá zamezit použití zranitelných verzí tím, že pokud nebudete mít aktuální zazáplatovanou, do služby vás vůbec nepustí (asi ne hned nyní, ale časem by se tak stát mělo). Další podrobnosti jsou k dispozici v Microsoft Security Bulletinu MS07-054 (alias KB942099).
Nástroj na odstranění škodlivého softwaru
Win32/Nuwar je jedinou breberkou, kterou umí oproti srpnovému Nástroji na odstranění škodlivého softwaru zářijová verze rozpoznat a zlikvidovat. Zdá se, že tento měsíc navazuje nástroj na tradici z posledního půl roku, kdy se seznam škodlivého softwaru rozrůstal každý měsíc po jednom (kromě srpna, kdy zaznamenal tři přírůstky). Celkem jich nyní zná 106 a má už skoro 8 MB.
- Nástroj na odstranění škodlivého softwaru: září 2007 (verze 1.33)
