Závažná bezpečnostní díra v DirectX

24. 7. 2003 | Petr Murmak | Audio/video, Bezpečnost, Software

Microsoft vypustil dvě záplaty pro Windows. První je opravdu kritická a postihuje všechny verze DirectX, což znamená, že i všechny nyní podporované Windows. Microsoft jako opravu vydal DirectX 9.0b, která je už tohoto problému zbavená. Pro operační systémy s verzí DirectX, která se vám nainstaluje se systémem, existuje oprava, ale pro Windows 98 a ME s DirectX starším než 9.0a vás nutí instalovat DirectX 9.0b. Jenže pokud si u Microsoftu necháte vyhledat nejnovější verzi DirectX pro českou jazykovou mutaci Windows, najdete pouze 9.0a. Ale i na to existuje řešení... Druhá zveřejněná chyba už není tak kritická a navíc se týká pouze Windows NT.

Přetečení bufferu v DirectShow

Byla objevena závažná bezpečnostní díra ve všech verzích DirectX. Je způsobena klasickým přetečením bufferu, který je schován ve zpracování MIDI souborů v DirectShow. Problém je, že přehrání MIDI souborů vám může automaticky vnutit například web stránka, nebo u uživatelů Outlooku (Express) i HTML email. Výsledek je takový, že útočník má možnost provést na vašem počítači kód dle své libosti. Další detaily najdete v Microsoft Security Bulletinu MS03-030. Nyní se rovnou vrhneme na opravy ke stažení (nevíte-li verzi DirectX, spusťte dxdiag.exe - stačí napsat na příkazové řádce):

DirectX 7.0 na Windows 2000: české a anglické
DirectX 8.1 na Windows XP: české a anglické
DirectX 8.1 na Windows Serveru 2003: české, anglické a 64bitové anglické
DirectX 9.0, či 9.0a na jakýchkoli Windows: české a anglické
Windows NT (update je nutné instalovat pouze v případě, že je nainstalován Windows Media Player 6.4, nebo Internet Explorer 6 SP1): anglické a anglický Terminal Server (pro českou verzi nebyl patch publikován)

Pokud jste nenašli tu svou kombinaci DirectX a Windows v předchozím seznamu, tak si musíte nainstalovat rovnou DirectX 9.0b. Expresní instalace je použitelná jak na anglickou, tak na českou verzi Windows. Zajímavé však je, že necháte-li si u Microsoftu vyhledat nejnovější DirectX pro česká Windows, bude nalezena pouze verze 9.0a. Pro anglická Windows je ještě k dispozici i síťová instalace.

Chyba ve funkci Windows NT umožňuje shodit systém

Tato chyba není nijak extrémně závažná, protože standardně ji ani nelze zneužít na dálku. Je schována ve způsobu obsluhování souborů, ale bohužel některé serverové aplikace mohou tuto chybu zpřístupnit i do světa. Více detailů najdete v Microsoft Security Bulletinu MS03-029. A samozřejmě následují odkazy na patche: