Wielkie łatanie Microsoftu
Zgodnie z wcześniejszymi zapowiedziami, Microsoft udostępnił największy od kilku miesięcy pakiet poprawek dla swoich produktów. W jego skład weszło w sumie 12 różnych uaktualnień, które usuwają 20 błędów w różnych aplikacjach i systemach koncernu. Co ważne, aż 11 z nich uznano za błędy krytyczne. Nowe uaktualnienia usuwają m.in. błędy w MS Office, Windows, Internet Explorerze ( również w wersji 7 ) oraz aplikacjach zabezpieczających Microsoftu - nie znalazła się jednak wśród nich żadna poprawka dla systemu Windows Vista.
Wśród patchy znalazły się wreszcie uaktualnienia usuwające znane od dawna błędy w aplikacjach z rodziny MS Offcie ( w pakiecie jest aż 6 łat dla Worda i po jednej dla PowerPointa i Excela ). Koncern od tygodni był krytykowany za zwlekanie z udostępnieniem tych łat - przede wszystkim dlatego, iż luki te są już aktywnie wykorzystywane przez przestępców do atakowania użytkowników MS Office.
14.02.2007 10:30
Poważny problem z PDF
Zdaniem specjalistów z USA, jedną z najważniejszych nowych łat jest uaktualnienie opisane w biuletynie MS07-010 - http://www.microsoft.com/technet/security/bulletin/ms07-010.mspx, które usuwa krytyczną lukę w "silniku" skanującym, wykorzystanym w kilku różnych produktach zabezpieczających Microsoftu ( m.in. Windows OneCare, Windows Defender, Forefront Security oraz Antigen ).
Z informacji dostarczonych przez Microsoft wynika, że luka ta może zostać wykorzystana do zdalnego przejęcia kontroli nad zaatakowanym komputerem. Problem polega na tym, iż mechanizm skanujący ma kłopoty ze sprawdzeniem pewnego typu plików PDF - "podsunięcie" aplikacji takiego pliku ( np. w postaci załącznika do poczty e-mail ) może spowodować błąd i zdalne przejęcie kontroli nad systemem. Przedstawiciele koncernu zapewniają jednak, że jak na razie nie dotarły do nich żadne sygnały o wykorzystywaniu tej luki przez przestępców.
Z opinią Sarwate zgadzają się inni eksperci - w rozesłanym przez firmę Symantec do klientów alercie o uaktualnieniach Microsoftu, biuletyn MS07-010 oceniono na "10" w 10-stopniowej skali określającej konieczność zainstalowania łaty.
IE ma problem z FTP
Wyjątkiem jest Lamar Bailey z IBM Internet Security Systems, który co prawda nie neguje wagi powyższego błędu, jednak zwraca uwagę, iż wszystkie programy, których dotyczy problem, uaktualniają się automatycznie i z pewnością większość ich instalacji została załatana wkrótce po opublikowaniu przez Microsoft patchy.
Jego zdaniem dużo poważniejszym i pilniej wymagającym załatania błędem jest jedna z luk w zabezpieczeniach przeglądarki Internet Explorer. W lutowym pakiecie uaktualnień znalazły się aż trzy poprawki dla tego programu - razem tworzą one tzw. patch zbiorczy ( Cumulative Security Update ) oznaczony symbolem MS07-016 - http://www.microsoft.com/technet/security/bulletin/ms07-015.mspx.
Wedlug Bailey'a, najgroźniejszy błąd dotyczy modułu przeglądarki odpowiedzialnego za obsługę protokołu FTP ( File Transfer Protocol ) - pozwala on na zdalne przejęcie kontroli nad komputerem. Co ważne, luka ta może zostać łatwo wykorzystana przez przestępców - wystarczy, iż skłonią oni użytkownika IE do pobrania jakiegoś pliku z konkretnego serwera FTP ). "Mnóstwo stron zawiera odnośniki do serwerów FTP - użytkownicy często nawet nie wiedzą, że pobierają właśnie plik przez FTP. Dlatego też mogą oni łatwo stać się cele takiego ataku" - tłumaczy Lamar Bailey.
Dwa z trzech błędów w IE dotyczą przeglądarki zarówno w wersji 6, jak i 7 - aczkolwiek tylko, jeśli "siódemka" zainstalowana jest w systemie Windows XP lub Windows Server 2003 - użytkownicy Windows Vista mogą więc spać spokojnie ( żadna z nowych łat nie jest przeznaczona dla tego systemu ).
MS Word wreszcie załatany
Na kolejny z nowych biuletynów - oznaczony MS07-014 - http://www.microsoft.com/technet/security/bulletin/ms07-014.mspx - użytkownicy czekali już od kilku tygodni. Uaktualnienie to usuwa krytyczne luki w zabezpieczeniach programu MS Word. Błędy te już od dawna są wykorzystywane przez internetowych przestępców do atakowania użytkownikom popularnego edytora. Udostępnione właśnie uaktualnienie przeznaczone jest dla Worda w wersji 2000, 2003 oraz 2004 for Mac. "Zdecydowanie rekomendujemy wszystkim użytkownikom jak najszybsze zainstalowanie tych łat" - mówi Jonathan Bitle z Qualys.
Wśród pozostałych, mniej istotnych patchy warto wymienić m.in. poprawki dla systemów z rodziny Windows, pakietu MS Office, kilku kontrolek ActiveX, formatu plików RTF ( Rich Text Format ), Visual Studio oraz dla programów Microsoft Excel i Microsoft PowerPoint.
Więcej informacji na temat najnowszego pakietu uaktualnień znaleźć można na stronie Microsoftu - http://www.microsoft.com/technet/security/bulletin/ms07-feb.mspx. Rekomendowanym przez Microsoft sposobem pobrania łatek jest skorzystanie z mechanizmu Microsoft Update - http://update.microsoft.com.
