Bezpečnost ve dvou týdnech: pokořený IM a nové záplaty Microsoftu

Server Secunia publikoval informaci o možnosti odhalení citlivých informací prostřednictvím klienta instant messagingu (IM) Trillian; celá zranitelnost je hodnocena jako méně kritická. Problém spočívá v tom, že uživatelovy údaje o e-mailovém účtu serveru Yahoo jsou uloženy ve snadno dostupném HTML souboru, který lze nalézt ve složce users\default\cache, umístěné v instalačním adresáři programu. Závada byla potvrzena pro verze Trillian Basic 3.1 (Build 121) i 3.0 a 3.1 (Basic/Pro). Ostatní varianty produktu mohou být rovněž postiženy, doporučeným řešením je ve všech případech omezení přístupu k dané oblasti.

Server SecurityFocus na svých stránkách informuje o zranitelnosti v zálohovacím softwaru Norton GoBack. Chyba se týká verze 4.0 a dovoluje útočníkovi obejít autentizační proces tak, že program akceptuje nesprávné heslo. Po jejím zneužití může útočník neoprávněně provádět změny v nastavení aplikace. Společnost Symantec na tomto problému údajně v současné době pracuje a snaží se jej odstranit.

Společnost Microsoft své uživatele také v srpnu potěšila pravidelnou dávkou záplat, jejichž kompletní přehled včetně relevantních odkazů naleznete v následující tabulce:

Na serveru Secunia se objevila informace o dvou zranitelnostech IM klienta Gaim. První z nich může při zobrazení něčí „away“ informace způsobit přetečení zásobníku, přičemž chyba je způsobena špatným zpracováním velkého množství proměnných (%t, %n apod.) v těle této zprávy. Kvůli druhé chybě může útočník způsobit pád aplikace – stačí k tomu, aby oběti poslal soubor obsahující znaky ve špatném kódování. Doporučené řešení spočívá v přechodu na nejnovější verzi 1.5.0, v níž jsou obě chyby opraveny.

Prostřednictvím hromadných e-mailů se začala šířit další zpráva slibující příjemci lehké nabytí peněz. Přesněji řečeno je příjemci oznámena výhra v loterii dosahující závratných sum a nechybí ani odpovídající číslo tiketu, spolu s taženými čísly. Není snad ani zapotřebí příliš zdůrazňovat, že tyto e-maily spadají do kategorie podvodných. Podvodné e-maily mají aktuálně tři podoby (první, druhá, třetí).

Na závěr tohoto dílu přehledu bezpečnosti v uplynulých dvou týdnech samozřejmě jako vždy přidáváme i stručný přehled tipů na další zajímavé články, které se zabývají bezpečností na Internetu:

Secure Communication in Space (Infosecwriter­s.com)
Ve studii Alaina Brainose se dozvíte, kterak probíhá zabezpečená komunikace Země-vesmír v obou směrech.

Wireless Data Transmission Security (Flexbeta.net)
Tento poměrně rozsáhlý článek se zabývá bezpečností bezdrátových sítí. Autor Anthony Waters jeho řádky hojně protkal odkazy na další internetové zdroje.

Bluetooth: Is it a Security Threat? (Windowsecuri­ty.com)
Debra Shinderová v rozhovoru zodpovídá základní otázky týkající se bezpečnosti přenosu dat prostřednictvím Bluetooth.

Day of the Digital Undead (Scmagazine.com)
Článek Davida Stanleyho se zabývá vznikem i dopadem takzvaných zombie počítačů a jejich sítí.