Hlavní navigace

Bezpečnost v uplynulém týdnu: zranitelnosti Wordu i ICQ

 Autor: 29
Ondřej Bitto

Během posledního týdne bylo opět publikováno několik aktuálních a zajímavých zranitelností - kritická z nich postihla například aplikaci Microsoft Word. Další se týkají IM klienta ICQ, antivirového programu AntiVir PersonalEdition či bezpečnostního balíku Panda Platinum Internet Security. Jako bezpečnostní software zdarma bude představena utilita SuperScan.

Bezpečnostní aktuality

Microsoft Word

Verze: 2000
Riziko: vysoké riziko (vysoké)
V aplikaci Microsoft Word byla objevena vysoce kritická zranitelnost, jejímž zneužitím potenciální útočník může dosáhnout až spuštění vlastního kódu na náchylném počítači. Chybu způsobuje nekorektní správa paměti při otevření speciálně upraveného dokumentu a týká se přímo spustitelného souboru winword.exe. Chyba byla potvrzena pro Microsoft Word verze 2000, nicméně není vyloučeno, že postiženy mohou být také další varianty této komponenty kancelářského balíku Microsoft Office. Prozatímní doporučené řešení až do vydání odpovídající záplaty spočívá v obligátním neotevírání nedůvěryhodných dokumentů.
Další informace: Microsoft.com

Ikonka - Kristalova Lupa 2006
Víte o zajímavé české službě či projektu a rádi byste o něm dali vědět ostatním? Zajímá vás, co považují za nejlepší na českém Internetu odborníci i běžní uživatelé? Pak neváhejte a nominujte své favority v anketě Křisťálová Lupa 2006! Až do 22. září 2006 můžete ovlivnit, ze kterých projektů se bude vybírat vítěz pro tento rok. Dejte vědět provozovatelům služeb, co si o jejich nabídce myslíte a ovlivněte tak český Internet!

AntiVir PersonalEdition

Verze: 7.x
Riziko: nizke riziko (nízké)
Jak na svých stránkách informoval níže odkazovaný server Secunia.com, antivirový program AntiVir PersonalEdition obsahuje chybu, která může otevřít vrátka pro spuštění vlastního kódu. Jádro celého problému spočívá v souboru update.exe, a jak již název napovídá, může být zneužita během aktualizace aplikace. Oficiálně byla chyba potvrzena pro verzi 7.0 build 151, nicméně opět platí, že se může týkat také jiných variant aplikace AntiVir. Podle uváděného doporučení by v rámci obrany měl být k systému poskytnut přístup pouze důvěryhodným uživatelům.
Další informace: Secunia.com

Panda Platinum Internet Security

Verze: 2006, 2007
Riziko: nizke riziko (nízké)
V bezpečnostním balíku Panda Platinum Internet Security byla nalezena nová zranitelnost, která může postihovat prakticky všechny koncové uživatele. Kamenem úrazu je výchozí nastavení přístupových práv k adresáři a souborům jmenované aplikace, případný útočník tak může manipulovat s jejími daty. Pro Panda Platium Internet Security verze 2006 byla chyba potvrzena ve variantě 10.02.01, ve verzi 2007 je pak postiženo vydání 11.00.00. V době psaní tohoto článku nebyla výrobcem vydána odpovídající oprava ani pro jednu verzi.
Další informace: Secwatch.org

ICQ

Verze: 2003b
Riziko: vysoké riziko (vysoké)
Zřejmě neznámější klient pro instant messaging ICQ je podle aktuálního oznámení náchylný na zranitelnost, která může způsobit přetečení zásobníku, a tedy útočníkovi zajistit související DoS útok. Základem je nekorektní práce funkce MCRegEx__Search a postižena je verze ICQ 2003b. Doporučené řešení spočívá v přechodu na nejnovější verzi zmiňovaného IM klienta.
Další informace: Coresecurity.com

Z aktuálních bezpečnostních článků, které minulý týden vyšly na zahraničních serverech, si lze pročíst řádky například následujících zástupců:

Laptop crypto: Do it, but realize it's not a panacea (Techtarget.com)
O schopnostech a kvalitě ochrany dat v noteboocích šifrováním.

Mutual Authentication for Online Banking: One Size Does Not Fit All (Infosecwriter­s.com)
Oboustranná autentizace v moderním internetovém bankovnictví.

The box that broke Enigma code is rebuilt (Theregister.co­.uk)
Rekonstrukce původních Turingových „bomb“ pro luštění Enigmy.

Bezpečnostní software zdarma

SuperScan

Homepage: Foundstone.com
Lupa hodnotí: 1756

SuperScan

Zajímavá utilita z dílen Foundstone, která kromě prostého skenování portů vzdáleného stroje dokáže zjistit a zprostředkovat také celou řadu dalších informací. Asi nejlépe možnosti vystihují přímo odpovídající názvy z grafického rozhraní, jež jsou dostupné po zadání adresy daného serveru – jedná se například o příkazy ICMP Traceroute, požadavky HTTP HEAD, HTTP GET i HTTPS GET a různé požadavky pro získání Whois záznamů. U síťových počítačů se systémem Windows jsou navíc k dispozici také další varianty.

Anketa

Používáte nativního klienta ICQ?

Našli jste v článku chybu?

14. 9. 2006 14:08

hza (neregistrovaný)
už ho dlouho nepoužívám, ale některé funcke mi tam tehdy (~2001) vyhovovali

v čem je nepoužitelný?

14. 9. 2006 9:59

uživatel si přál zůstat v anonymitě
Stejně je ten nativní hračka pro děti... Na seriózní komunikaci nepoužitelné :)
120na80.cz: Rovnátka, která nejsou vidět

Rovnátka, která nejsou vidět

Vitalia.cz: To nejhorší při horečce u dětí: Febrilní křeče

To nejhorší při horečce u dětí: Febrilní křeče

Měšec.cz: Stavební spoření: alternativa i pro seniory

Stavební spoření: alternativa i pro seniory

Měšec.cz: Air Bank zruší TOP3 garanci a zdražuje kurzy

Air Bank zruší TOP3 garanci a zdražuje kurzy

Vitalia.cz: Vychytané vály a válečky na vánoční cukroví

Vychytané vály a válečky na vánoční cukroví

Podnikatel.cz: Vládu obejde, kvůli EET rovnou do sněmovny

Vládu obejde, kvůli EET rovnou do sněmovny

Vitalia.cz: Jsou čajové sáčky toxické?

Jsou čajové sáčky toxické?

Vitalia.cz: Mondelez stahuje rizikovou čokoládu Milka

Mondelez stahuje rizikovou čokoládu Milka

Měšec.cz: Sleva na dítě a manželku pro OSVČ je zpět. Ale..

Sleva na dítě a manželku pro OSVČ je zpět. Ale..

DigiZone.cz: Co chtějí operátoři při přechodu na DVB-T2?

Co chtějí operátoři při přechodu na DVB-T2?

Vitalia.cz: Když přijdete o oko, přijdete na rok o řidičák

Když přijdete o oko, přijdete na rok o řidičák

Root.cz: Nová třída SD karet A1 s vysokým výkonem

Nová třída SD karet A1 s vysokým výkonem

Vitalia.cz: Jmenuje se Janina a žije bez cukru

Jmenuje se Janina a žije bez cukru

Měšec.cz: Jak levně odeslat balík přímo z domu?

Jak levně odeslat balík přímo z domu?

Vitalia.cz: Nahradí sluch, ale zvuk je zcela jiný

Nahradí sluch, ale zvuk je zcela jiný

DigiZone.cz: Česká televize mění schéma ČT :D

Česká televize mění schéma ČT :D

Podnikatel.cz: Chaos u EET pokračuje. Jsou tu další návrhy

Chaos u EET pokračuje. Jsou tu další návrhy

Root.cz: Kamery Sony se dají ovládnout na dálku

Kamery Sony se dají ovládnout na dálku

Root.cz: 250 Mbit/s po telefonní lince, když máte štěstí

250 Mbit/s po telefonní lince, když máte štěstí

Root.cz: Telegram spustil anonymní blog Telegraph

Telegram spustil anonymní blog Telegraph