Przewidywalność aktualizacji słabym ogniwem Microsoftu?
Marcin Maj 11-04-2007, 10:23
Po raz kolejny cyberprzestępcy postanowili wykorzystać harmonogram udostępniania aktualizacji Microsoft dla swoich celów. W sieci opublikowano informacje na temat trzech nowych luk w MS Office i stało się to akurat dzień przed udostępnieniem kwietniowych biuletynów.
Sprawę trzech nowych luk badają Microsoft oraz firma McAfee. Na razie nie wiadomo, czy chodzi o całkowicie nowe luki, czy też o jakieś stare, zapomniane dziury, których z jakiegoś powodu nie załatano w przeszłości.
Dwa wykryte błędy pozwalają na przeprowadzenie ataku typu DoS co oznacza, że możliwe jest przerwanie pracy aplikacji. Jedna z luk pozwala na atak typu heap overflow i może być wykorzystana do wykonania dowolnego kodu na komputerze ofiary. Zazwyczaj atak z wykorzystaniem tego typu luk wymaga otworzenia odpowiednio spreparowanego dokumentu MS Office.
Przedstawiciele Microsoft w e-mailowym oświadczeniu dla serwisu CNET napisali jedynie, że sprawa jest badana. Zapewnili też, że nie było żadnych doniesień o atakach z wykorzystaniem wspomnianych usterek.
Ekipa McAfee Avert Labs bada w tej chwili jeszcze jedną lukę odnoszącą się do obsługi plików HLP w systemie Windows. Ta usterka również pozwala na dokonanie ataku typu heap-overflow. Istnieje już kod proof-of-concept demonstrujący technikę ataku.
Eksperci zwracają uwagę na to, że informacje o lukach coraz częściej pojawiają się na krótko przed lub krótko po aktualizacjach Microsoftu, które zawsze są udostępniane w drugi wtorek miesiąca.
Cyberprzestępcy mają świadomość tego, że gigant niechętnie narusza swój harmonogram. Opublikowanie luki w odpowiednim terminie daje pewność, że użytkownicy najpopularniejszego oprogramowania będą narażeni na atak przez co najmniej miesiąc. Eksperci zauważyli to zjawisko już tyle razy, że obok pojęcia "łatany wtorek" ukuto termin "środa zero-day".
Firma Microsoft wydała oświadczenie z którego wynika, że żadna z wymienionych luk nie dotyczy programu Word 2007, ani innego składnika Office 2007. Narażone są jedynie starsze wersje pakietu biurowego. Przedstawiciele Microsoft twierdzą również, że wszystkie wymienione luki nie były znane wcześniej specjalistom z ich firmy.
Dwa wykryte błędy pozwalają na przeprowadzenie ataku typu DoS co oznacza, że możliwe jest przerwanie pracy aplikacji. Jedna z luk pozwala na atak typu heap overflow i może być wykorzystana do wykonania dowolnego kodu na komputerze ofiary. Zazwyczaj atak z wykorzystaniem tego typu luk wymaga otworzenia odpowiednio spreparowanego dokumentu MS Office.
Przedstawiciele Microsoft w e-mailowym oświadczeniu dla serwisu CNET napisali jedynie, że sprawa jest badana. Zapewnili też, że nie było żadnych doniesień o atakach z wykorzystaniem wspomnianych usterek.
Ekipa McAfee Avert Labs bada w tej chwili jeszcze jedną lukę odnoszącą się do obsługi plików HLP w systemie Windows. Ta usterka również pozwala na dokonanie ataku typu heap-overflow. Istnieje już kod proof-of-concept demonstrujący technikę ataku.
Eksperci zwracają uwagę na to, że informacje o lukach coraz częściej pojawiają się na krótko przed lub krótko po aktualizacjach Microsoftu, które zawsze są udostępniane w drugi wtorek miesiąca.
Cyberprzestępcy mają świadomość tego, że gigant niechętnie narusza swój harmonogram. Opublikowanie luki w odpowiednim terminie daje pewność, że użytkownicy najpopularniejszego oprogramowania będą narażeni na atak przez co najmniej miesiąc. Eksperci zauważyli to zjawisko już tyle razy, że obok pojęcia "łatany wtorek" ukuto termin "środa zero-day".
Aktualizacja
Firma Microsoft wydała oświadczenie z którego wynika, że żadna z wymienionych luk nie dotyczy programu Word 2007, ani innego składnika Office 2007. Narażone są jedynie starsze wersje pakietu biurowego. Przedstawiciele Microsoft twierdzą również, że wszystkie wymienione luki nie były znane wcześniej specjalistom z ich firmy.
Artykuł może zawierać linki partnerów, umożliwiające rozwój serwisu i dostarczanie darmowych treści.
Stopka:
© 1998-2025 Dziennik Internautów Sp. z o.o. Wszelkie prawa zastrzeżone.