SP2 против плагинов

Если секьюрити-эксперты приветствуют Microsoft Service Pack 2, то некоторые компании, распространяющие собственное ПО через веб, настороженно следят за выпуском продукта.

Годами разработчики ПО предлагали миру свои приложения для веб-браузера Microsoft Internet Explorer через мощный проприетарный API компании, называемый ActiveX. Эта технология запускает внешние приложения, или «плагины», внутри веб-страницы.

Однако инструмент, который хорошо исполняет программы в браузере, способен выполнять и злонамеренное ПО, в результате чего ActiveX оказался замешан во многих схемах нарушения защиты, в том числе и тайной установки adware, spyware и прочей нечисти.

Service Pack 2 подрезал ActiveX крылья, усилив систему предупреждения, которая вступает в действие при попытке веб-сайта исполнить элемент ActiveX, открыть всплывающее окно или выполнить другой код. В прошлом IE, прежде чем позволить установить плагин, предлагал пользователям в окне предупреждения простые варианты выбора Yes или No. В SP2 Microsoft по умолчанию блокирует элементы управления ActiveX и выводит грозное предостережение о том, что неизвестное ПО способно повредить ПК, и что разрешение инсталляции может привести к непредсказуемым последствиям.

Эти перемены встревожили производителей ПО, которые опираются на ActiveX, и вызвали подозрения в использовании Microsoft необходимости усиления мер безопасности для достижения собственных стратегических целей. «Мы с замиранием сердца ожидаем, когда все его установят, — говорит Алекс Сент-Джон, участвовавший в создании графического ПО Microsoft для DirectX в свою бытность сотрудником компании с 1992 по 1997, а теперь владелец сайта 3D-игр WildTangent. — Скорее всего, предупреждение SP2 встревожит и насторожит пользователя, и он вообще все отменит. А большой процент людей сначала просто не поймет, что произошло… Это нарушает все бизнес-модели, связанные с возможностью воспроизводить контент в браузере».

Другой поставщик согласен, что SP2 помешает распространению его 3D-плагина через Web. «Он запутывает конечных пользователей, — говорит Тони Париси, основатель Media Machines и один из создателей спецификаций веб-графики VRML (Virtual Reality Modeling Language) и X3D (Extensible 3D). — И я думаю, что это стреножит независимых разработчиков ПО, которые пользовались удобным и относительно дешевым способом распространения продуктов, какой предоставляют веб и IE. Я понимаю, что существуют проблемы безопасности, но думаю, что это ударит по независимым разработчикам ПО».

Многолетние жалобы
Проблемы безопасности были действительно нешуточными. Microsoft обуздала ActiveX после многолетних жалоб на то, что компания не принимает достаточно серьезных мер, причем особенно жаловались на ActiveX. Два с половиной года назад Билл Гейтс объявил, что безопасность стала для Microsoft задачей номер один.

IE давно требовал от пользователей подтверждения при загрузке элементов ActiveX. Но до SP2 злонамеренные хакеры обходили эти предупреждения, а эффект от них был небольшим, так пользователи привыкли и легко их проскакивали. «Большинство пользователей по инерции давили OK, не читая предупреждения ActiveX, — говорит Даг Стэмпер (Doug Stamper), менеджер программистов группы IE, который работал над SP2. — Мы внесли эти изменения потому, что пользователи стали загружать программы автоматически, по инерции».

В основе изменений, внесенных Microsoft, лежит новая «информационная строка», тонкая линейка прямо под строкой веб-адреса, в которой отображаются предупредительные сообщения. Чтобы отмести сомнения в том, что пользователь заметит информационную строку, SP2 каждый раз выводит диалоговую рамку, указывающую на нее, пока пользователь не поставит в ней галочку против просьбы убраться.

В зависимости от того, что пытается сделать веб-сайт, в информационной строке отображаются разные предупреждения. Если он пытается выполнить элемент ActiveX, сообщение гласит: «Для этого сайта может потребоваться следующий элемент ActiveX… Кликните здесь, чтобы его установить».

Про некоторые программы — например, бесплатный RealPlayer — текст сообщает: «Чтобы гарантировать вам безопасность, Internet Explorer запретил этому сайту загружать файлы в ваш компьютер. Кликните здесь, чтобы выбрать вариант».

Microsoft утверждает, что хотя ее исследования выявили некоторые недостатки новой системы, большинство людей сможет в ней разобраться. «Наши тесты на usability и наш инженерный процесс убеждают, что она действует очень хорошо, — говорит он. — Не все, но подавляющее большинство пользователей поняли ее назначение».

Меры защиты служат бизнес-стратегии?
«Это один из тех случаев, когда Microsoft будут критиковать с обеих сторон, — говорит аналитик Burton Group Питер О’Келли. — Если надо выбирать между безопасностью для всех и неудобствами для некоторых поставщиков ПО и некоторых пользователей, то выбор очевиден».

Критики Microsoft полагают, что меры защиты компании реализованы так, чтобы усилить собственный бизнес за счет бизнеса других. Например, Сент-Джон отмечает, что перейдя от общих веб-технологий к структуре Microsoft .Net и языку программирования С#, он смог бы обойти новый протокол защиты ActiveX. Но так как многие его геймеры работают через dial-up соединения, сравнительно тяжелая загрузка .Net делает этот вариант неприемлемым. «Возможно, штурм рядов ActiveX призван повести в сторону .Net, — говорит Сент-Джон. — И все это делается под предлогом усиления безопасности».

Усложнение использования ActiveX может оказать угнетающее воздействие на несколько программ, конкурирующих с технологией Microsoft. В их числе медиаплеер Apple QuickTime, RealPlayer от RealNetworks, Adobe Acrobat и ПО флэш-анимации и сервер приложений Flex от Macromedia. «Большинство проблем безопасности в интернете не связано с ActiveX, — говорит главный технолог Laszlo Systems Дэвид Темкин. Microsoft просто воспользовалась случаем, чтобы ужесточить контроль над клиентскими технологиями. Это плохо для Flex, для Real, для QuickTime и многих и многих других».

Microsoft отвергает обвинения в использовании безопасности в стратегических целях. «Внесенные нами изменения выгодны заказчику, так как обеспечивают ему максимум информации, что позволяет принимать обоснованные решения, — говорит Стэмпер. — Мы не мешаем работать (поставщикам ПО)».

Отзвуки прошлого?
Защита Microsoft может показаться тревожным звонком для тех, кто следил за восхождением операционной системы Windows.

В 1999 году компания отвергала обвинения своего конкурента Caldera в том, что Microsoft выводит угрожающее сообщение об ошибке при обнаружении программного обеспечения Caldera DR-DOS. Дело кончилось внесудебным урегулированием в 2000 году.

Сегодня критики Microsoft указывают на две области с высоким уровнем конкуренции, которые может затронуть система предупреждения ActiveX SP2: медиаплееры и интернет-приложения. Так как Windows Media Player поставляется вместе с операционной системой Microsoft, он получает немедленное преимущество над такими конкурентами, как RealPlayer и QuickTime. Если новые предупреждения Microsoft отпугнут пользователей от загрузки элементов ActiveX, это может создать компании дополнительное преимущество.

Сейчас RealNetworks ведет антимонопольную тяжбу с Microsoft, утверждая, что монополия Windows ограничивает потребителям выбор онлайновых медиаплееров. RealNetworks и Adobe, которая все больше конкурирует с Microsoft, отказались от комментариев для этой статьи. Apple тоже, но в ее заявлении говорится: «Мы тестировали QuickTime с Microsoft Windows XP SP2 и не обнаружили никаких негативных эффектов для контента на базе плагинов». Macromedia тоже не видит в SP2 ничего опасного для своей способности распространять плеер Flash, утверждая, что с весны она сотрудничает с Microsoft над релизом, чтобы найти баланс между максимальной безопасностью и простотой использования.

Независимые софтверные компании, которые считают существующие предупреждения ActiveX злом, знакомы с опытными версиями, говорит главный архитектор ПО Macromedia Кевин Линч. «Поначалу процесс установки элементов ActiveX действительно был трудным. Из текста предупреждений было не очень понятно, о чем именно просят пользователя, особенно сбивала с толку надпись: „This will be dangerous to your machine”. Но Microsoft проявила отзывчивость, и мы пришли к результату, который нас вполне устроил».

Отношения Macromedia с Microsoft можно считать хрестоматийным случаем корпоративной конкуренции. С одной стороны Microsoft способствовала почти повсеместному распространению флэш-плеера Macromedia, так как ввела его версию 5 в Windows ХР. Macromedia Flash стал единственной программой от независимых поставщиков, вошедшей в пакет SP2. Это означает, что пользователи Windows получат автоматическое обновление с Flash 5 на Flash 6.

С другой стороны, Microsoft решила не включать новейший плеер Macromedia Flash 7. Он нужен для исполнения интернет-приложений, которые работают с платформой Macromedia Flex. Сочетание серверного ПО Flex с Flash 7 создает именно такие быстродействующие интернет-приложения с интенсивным использованием графики, какие Microsoft планирует предложить в многократно откладываемом обновлении Windows Longhorn. «Microsoft не хочет распространять Flash 7, — говорит аналитик Burton O’Келли. — Я верю слухам, что Microsoft считает его более конкурентным, чем прежние версии Flash».

Представитель Microsoft сказал, что компания предпочла Flash 6 версии Flash 7 по техническим причинам и соображениям безопасности. Macromedia утверждает, что сначала Microsoft приводила в качестве довода против Flash 7 опасения Евросоюза по поводу самообновляемого ПО. Позднее Microsoft от казалась от этого довода.

Какими бы ни были мотивы Microsoft, принятое решение означает, что пользователям SP2, чтобы открыть веб-страницу, требующую Flash 7, придется преодолевать секьюрити-препоны ActiveX. Macromedia утверждает, что Flash 7 делает быстрые успехи. По оценкам компании, сегодня это ПО установлено более чем на 66% подключенных к интернету компьютеров в США и 81% в Европе.

Другие производители ПО не знают, как они станут жить при новом режиме безопасности. «Проблема плагинов стоит очень остро, — говорит основатель Media Machines Париси. — Как только клиенты моих заказчиков столкнутся с проблемой установки плагинов, они окажутся перед новым барьером, который им предстоит преодолеть».

И хотя поставщики плагинов с напряжением ждут последствий перехода на SP2, Laszlo Systems готовится к худшему, зная, что те разработчики, которые сильно зависят от Flash и ActiveX, живы только милостью Microsoft. «SP2 это еще цветочки, — говорит Темкин. — Настоящую неизвестность несет с собой Longhorn. Включит ли Microsoft туда хоть какую-нибудь версию Flash? Не затруднят ли они доступ и не отпугнут ли народ от ее загрузки? Мы собираемся заблаговременно ввести в свое ПО поддержку клиента .Net — тогда вообще не потребуется загружать ActiveX».

Осторожно - Интернет-аукцион

Интернет-аукционы – это предприятия с большим оборотом продаж, которые оцениваются в 7 миллиардов долларов в год. Самый крупный электронный аукцион в мире, eBay, контролирует 90% рынка сетевых аукционов. Это мультимиллиардный бизнес. Большинство аукционов eBay законны, а клиентов обычно устраивает метод оплаты – в противном случае он бы не стал таким популярным. К тому же там крутится огромное количество денег. А в тех местах, где перемещаются деньги, «зависают» различного рода мошенники.

IFCC (Internet Fraud Complaint Center – Центр жалоб на мошенничество в Интернете) – объединенный проект ФБР и Центра по предотвращению преступлений, совершаемых «белыми воротничками» (White Collar Crime Prevention Center), получает тысячи электронных писем каждую неделю от потребителей, ставших жертвами сетевых мошенников. Почти половина (46%) этих потребителей пострадали от мошенничества с аукционами.

Если вы не хотите стать жертвой аферы на Интернет-аукционе – защитите себя:

∙ Попросите у продавца его номер телефона.
∙ Остерегайтесь радикального изменения ассортимента.
∙ Следуйте советам на сайте. На eBay есть Советы по безопасной торговле. Изучите эти советы прежде, чем пускаться в пучину Интернет-аукционов.
∙ Если предложение слишком заманчивое, чтобы быть правдой, вполне вероятно – это обман.
∙ Если продавец контактирует с вами после аукциона, не отвечайте ему.
∙ Никогда не сообщайте продавцу номер вашей кредитной карты.
∙ Для передачи денежных средств в качестве оплаты покупок используйте надежные посреднические службы.

Биометрические идентификаторы появятся скоро на мобильниках

Осенью в Европе начнется продажа мобильных телефонов со встроенным сканером отпечатков пальцев. Биометрическая система аутентификации сделает невозможным использование телефона посторонними лицами. Специальное устройство анализирует характеристики отпечатка пальца, считанного с сенсора, и преобразовывает их в математический шаблон, сохраняющийся в памяти. В телефонах установлена узкая полоска-сканер, по которой необходимо провести пальцем.

Технология разработана специалистами Fujitsu Microelectronics. По словам представителя Fujitsu Microelectronics Шаоюна Ченга (Shaoyun Cheng), она делает ненужным PIN-код. Достаточно лишь приложить палец, чтобы получить доступ к пользованию телефоном. Также сенсор можно использовать как джойстик, двигая пальцем по поверхности. Телефоны со сканерами отпечатков пальцев уже продаются в Японии и используются для электронных транзакций. "Замки и игры - всего лишь первый этап. Сканирование отпечатка пальца обеспечивает доступ в защищенную область, где можно совершать электронные платежи", - заявил г-н Ченг.

Выпуск телефонов со встроенным сканером отпечатков пальцев должен увеличить доверие пользователей к мобильной связи и электронным транзакциям.

Debian отказывается поддерживать Sender ID

Проект Debian заявляет о неприятии лицензии Sender ID, предлагаемой Microsoft для реализации средств защиты почтовых серверов от спамеров, поскольку эта лицензия противоречит условиям социального контракта Debian.

В результате Debian не может предоставлять в составе операционной системы пакеты поддерживающие Sender ID. Ранее о несовместимости лицензии Sender ID с принципами свободного п/о и в частности с Apache License 2.0 уже заявили представители проекта Apache, также вынужденные отказаться от Sender ID.

Цитата с debian.org:

"Условия свободного от отчислений владельцу (royalty-free) патента Microsoft на Sender ID являются барьером для любого пакета Debian, который хочет реализовать или поддерживать Sender ID. Мы полагаем, что настоящая лицензия и вытекающие из нее препятствия несовместимы с DFSG, в отличие от других стандартов интернета, которые Debian в состоянии поддерживать. Поэтому, мы не можем реализовать или распространять Sender ID на существующих лицензионных положениях. Напротив, мы вынуждены будем удалять поддержку Sender ID из программ, которые мы распространяем, в соответствии с условиями нашего социального контракта.

В значительной мере, наше беспокойство разделяют Apache Software Foundation, Free Software Foundation, а также майнтейнеры Postfix, Exim и Courier.

Мы также считаем, что ни одна компания не должна обладать правами интеллектуальной собственности (IPR) на базовые технологии составляющие инфраструктуру интернета."

Старые ПК расскажут все тайны бывших владельцев

Результаты новых исследований, проведенных в Великобритании, свидетельствуют об опасной небрежности пользователей, избавляющихся от старых ПК, на которых продолжает храниться важная информация, а также об общей недооценке того негативного влияния, которое оказывает неудовлетворительное обеспечение ИТ-безопасности компании на ее акционеров и инвесторов.

Согласно результатам исследования, проведенного британской компанией Remploy e-cycle, специализирующейся в области утилизации старых ПК, лишь четверть пользователей удаляют данные со старых ПК, прежде чем избавиться от них. Из 350 компаний, принявших участие в опросе, 75% продавало или передавало даром свои старые ПК, но лишь 23% предварительно удалило с жестких дисков содержавшуюся на них информацию. При этом 38% опрошенных ошибочно полагало, что простое переформатирование дисков сделает невозможным доступ посторонних к информации, содержавшейся на них.

Хуже всего в плане обеспечения безопасности дела обстоят у британских финансистов — только каждая восьмая из обследованных компаний не поленилась удостовериться в том, что данные с утилизируемых компьютеров действительно удалены.

«По правде говоря, все это очень тревожит, — прокомментировал вскрывшиеся факты Ноэль Харасин (Noel Harasyn), генеральный менеджер компании Remploy e-cycle. — Похвально, что компании отправляют ненужное им оборудование на утилизацию для использования в новом качестве, однако в подавляющем большинстве случаев мер для предотвращения считывания данных с жестких дисков не предпринимается. Обычно практикуемое простое переформатирование или перезаписывание данных раз — другой позволяют впоследствии восстановить большинство данных, содержавшихся на дисках».

Компания Remploy e-cycle провела свое исследование накануне вступления в силу в Великобритании нового законодательства, стимулирующего компании не просто выбрасывать старые ПК на свалки, а передавать их для повторного использования. Эта проблема уже встала во всей своей остроте — только в США в предстоящие пять лет предстоит утилизировать 250 млн. ПК. Директива WEEE (Waste Electrical and Electronic Equipment) возлагает на производителей ответственность за утилизацию электронного оборудования после окончания срока его эксплуатации.

Как сообщает издание The Register, в этом году на аукцион eBay попал жесткий диск, на котором оставалась в целости и сохранности текущая база данных клиентов одной из крупнейших в Европе финансовых групп и коды их доступа к внутренней закрытой сети компании. Диск приобрела всего за $5 компания Pointsec Mobile Technologies, специализирующаяся на обеспечении безопасности мобильных устройств. В рамках проводимого ею исследования она закупила через интернет 100 жестких дисков, с 70% которых удалось считать содержавшуюся на них прежде информацию несмотря на то, что все они, как предполагали их прежние владельцы, были очищены или переформатированы.

В 2000 году стало известно о том, что в результате продажи старых компьютеров финансовой компании Morgan Grenfell Asset Management в открытый доступ попали данные о финансовых транзакциях и банковских счетах Пола Маккартни.

Выяснилось также, что ведущие компании склонны недооценивать последствия того, как уязвимости в их собственных системах информационной безопасности будут восприняты акционерами и инвесторами. Обследование 70 компаний из списка 350 крупнейших компаний британского фондового индекса FTSE, проведенное компанией Logica-CMG, показало, что акционеры присваивают вопросу обеспечения ИТ-безопасности более высокий приоритет, чем большинство директоров компаний. Выяснилось, в частности, что 47% обследованных компаний не имели полноценной, отраженной документально политики в области обеспечения информационной безопасности. Результаты обследования позволили сделать вывод о том, что «британские акционированные компании не придерживаются общепризнанного подхода к обеспечению безопасности, продолжая рассматривать этот вопрос как частную проблему ИТ-сферы, а не как фундаментальную проблему бизнеса».

Банки будут отчитываться о своих веб-сайтах

С сегодняшнего дня все российские банки должны отчитываться перед ЦБ об использовании интернет-технологий в своей деятельности. Они должны сообщать об открытии или закрытии веб-сайта, об изменении его функциональных возможностей, об использовании интернет-банкинга и т.д.

1 сентября вступило в силу указание ЦБ РФ №1481-У. В соответствии с ним вводится новая форма отчетности 0409070, она называется «Сведения об использовании кредитной организацией интернет-технологий». При малейшей активности в интернете банки теперь будут обязаны отчитываться перед государством. Порядок составления новой формы, а также образец заполнения и инструкции опубликованы в специальном указании ЦБ.

Если банк открывает сайт или меняет его адрес, или меняет функциональность, или прекращает его обслуживание, он должен в течение двух недель сообщить об этом государству. В случае ведения нескольких сайтов отдельный отчет нужно предоставлять по каждому из них. При этом требуется сообщить множество дополнительных сведений.

* Адрес(а) (URL или IP) веб-сайта
* Функциональное назначение веб-сайта
* Наличие документа, определяющего порядок использования веб-сайта
* Место нахождения используемого веб-сайта
* Наличие договора с владельцем веб-сервера
* Наличие договора с организацией, оказывающей услуги по доступу в интернет
* Наличие документа, определяющего порядок предоставления услуг интернет-банкинга
* Название программного продукта интернет-банкинга
* Название фирмы-разработчика программного продукта интернет-банкинга
* Общее количество филиалов кредитной организации, использующих интернет-технологии
* Сведения о клиентском обслуживании через интернет
* Наличие ИТ-подразделения
* Наличие системного администратора ИТ
* Наличие администратора безопасности ИТ
* Количество сотрудников, обеспечивающих функционирование систем(ы) интернет-банкинга
* Наличие организационно-распорядительного документа по сетевому мониторингу и системному аудиту
* Наличие методики контроля за рисками, связанными с интернет-банкингом
* Наличие документа по результатам контроля за рисками, связанными с интернет-банкингом
* Наличие ограничений на объем операций с использованием интернет-банкинга
* Наличие процедур внутреннего контроля за технологиями интернет-банкинга
* Наличие документа, определяющего порядок действий при обнаружении сетевых атак в системе интернет-банкинга
* Наличие сетевой связи системы интернет-банкинга с банковской автоматизированной системой
* Наличие системы межсетевой защиты
* Использование для идентификации клиентов интернет-банкинга одноразовых идентификаторов (в качестве паролей)
* Наличие используемых в системе интернет-банкинга сертифицированных программных средств электронной цифровой подписи
* Использование в качестве клиентской части системы интернет-банкинга стандартных интернет-браузеров
* Использование в составе клиентской части системы интернет-банкинга специализированных программно-информационных средств

Полный перечень сведений, которые должен сообщать каждый банк, а также инструкции по заполнению формы содержатся в документе ЦБ.

Недельный отчет о вирусах от Panda Software Russia

В отчете, посвященном событиям прошедшей недели, мы рассмотрим четыре вредоносных объекта: Bagle.AY, Bagle.AW, Bagle.AV и CodeBase.gen.

Версии AY, AW и AV Bagle были массово разосланы по электронной почте в сообщении с темой 'foto', содержащем вложенный файл FOTO.ZIP или FOTO1.ZIP. В этом архиве содержится HTML файл, а также скрытый EXE. После того, как пользователь открывает HTML файл, EXE также запускается.

Bagle.AY, Bagle.AW и Bagle.AV выполняют ряд действий на компьютерах, которые они заражают:

- Прерывают активные в памяти процессы. Среди прерываемых - процессы, принадлежащие антивирусным программам. Таким образом, компьютер становится беззащитным перед новыми вирусами.

- Пытаются с различных веб сайтов загрузить ложный JPG файл, являющийся на самом деле исполнимым (EXE) файлом. После загрузки данного файла указанные версии Bagle начинают распространяться.

CodeBase.gen, с другой стороны, является кодом, включаемым в тело электронного сообщения или веб страницы с целью использования следующих брешей:

- Browser Cache Script Execution в зоне Мой компьютер и Object Tag, обнаруженные в версии 4.0 и более поздних Internet Explorer, а также в приложениях, использующих этот браузер (таких как Outlook и Outlook Express). Обе ошибки могут позволить злоумышленнику выполнить программный код без разрешения пользователя при посещении им веб страницы или открытии особым образом составленного письма в формате HTML.

- Опасная брешь в версии 5.04 и более ранних проигрывателя Winamp, которая позволяет запускать программный код при установке файла для проигрывателя.

Microsoft выпускает новые сервис-паки

Критическая дыра в Altnet Download Manager

В менеджере загрузки Altnet Download Manager, входящем в состав клиентских приложений для работы в файлообменных сетях Kazaa и Grokster, обнаружена критическая уязвимость. Проблема связана с функцией "IsValidFile()". Для реализации нападения злоумышленнику необходимо вынудить жертву просмотреть составленный определенным образом файл в формате HTML, содержащий чрезмерно длинное значение параметра "bstrFilepath". Результатом атаки может стать выполнение произвольного вредоносного кода на удаленном компьютере. Уязвимость содержится в Altnet Download Manager 4.0.0.2/4.0.0.4 и, возможно, некоторых других версиях. Заплатки для дыры в настоящее время не существует.

Удаленное переполнение буфера в Altnet Download Manager

Программа: Altnet Download Manager 4.0.0.2, 4.0.0.4 Опасность: Высокая Наличие эксплоита: Нет Описание: Переполнение буфера обнаружено в Altnet Download Manager. Удаленный пользователь может выполнить произвольный код на компьютере целевого пользователя. Удаленный пользователь может создать HTML, который вызовет Altnet Download Manager ActiveX управление со специально обработанным параметром 'bstrFilepath', чтобы вызвать переполнение в методе IsValidFile().Altnet Download Manager включен в Kazaa и Grokster. URL производителя: http://www.altnet.com/help/downloader.asp Решение:Способов устранения обнаруженной уязвимости не существует в настоящее время.

http://secunia.com/advisories/12446/

Отключение контроля запущенных приложений в Kerio Personal Firewall

Программа: Kerio Personal Firewall 4.0.16 Опасность: Низкая Наличие эксплоита: Нет Описание: Уязвимость обнаружена в Kerio Personal Firewall. Возможность защиты запуска приложений может быть отключена локальным пользователем с административными привилегиями. Локальное приложение может напрямую записать в \device\physicalmemory, чтобы восстановить SDT ServiceTable ядра, чтобы отключить контроль выполнения приложений в программе. Уязвимость не затрагивает другие функции программы. URL производителя: http://www.kerio.com/kpf_home.html Решение:Способов устранения обнаруженной уязвимости не существует в настоящее время.

http://www.security.org.sg/vuln/kerio4016.html

Удаленный отказ в обслуживании в Opera

Программа: Opera 7.23 build 3227 Опасность: Низкая Наличие эксплоита: Да Описание: Уязвимость обнаружена в браузере Opera в обработке 'embed' тэга. Удаленный пользователь может создать HTML, который, когда будет загружен целевым пользователем, аварийно завершит работу браузера целевого пользователя. Пример/Эксплоит: <html> <head> <script language=javascript> function dSend() { document.crash.text; } </script> </head> <body onLoad="dSend()"> <embed src="" type="CCCC" name="crash" > </embed> </body> </html> URL производителя: http://www.opera.com/ Решение:Опера 7.21 не уязвима.

Opera DOS

Слабая конфигурация по умолчанию в OpenSSH

Программа: OpenSSH 3.9 и более ранние версии Опасность: Низкая Наличие эксплоита: Да Описание: Уязвимость в конфигурации по умолчанию обнаружена в OpenSSH, когда используется с анонимными публичными службами, типа анонимным CVS. Удаленный пользователь может подключится к произвольным хостам через целевую службу.  'AllowTcpForwarding' в конфигурации по умолчанию разрешает перенаправление TCP подключений. На сайтах, которые позволяют анонимному пользователю получать доступ к службе через SSH, удаленный пользователь может выполнить port bouncing нападение. Удаленный авторизованный пользователь может заставить целевую службу подключится к произвольным портам на произвольных серверах. URL производителя: http://www.openssh.org/ Решение:Добавьте следующую инструкцию в '/etc/ssh/sshd_config': AllowTcpForwarding no

SSHD / AnonCVS Nastyness

Удаленный отказ в обслуживании в WhatsUp Gold

Программа: WhatsUp Gold 8.03 до Hotfix 2 Опасность: Средняя Наличие эксплоита: Нет Описание: Две уязвимости обнаружены в WhatsUp Gold. Удаленный пользователь может вызвать условия отказа в обслуживании. Удаленный авторизованный пользователь может вызвать переполнение буфера в обарботке Notification имен через Web интерфейс. Дополнительные подробности не раскрываются. Также сообщается, что удаленный авторизованный пользователь может вызвать некоторые GET запросы для 'prn.htm', чтобы вызвать условия отказа в обслуживании. URL производителя:http://www.ipswitch.com/products/whatsup/index.html Решение:Установите WhatsUp Gold 8.03 Hotfix 2: ftp://ftp.ipswitch.com/Ipswitch/Product_Support/WhatsUp/wug803HF2.exe

[none]

Административный доступ в MailWorks Professional

 Cookie: auth=1; uId=1

Межсайтовый скриптинг в Keene Digital Media server

Программа: Keene Digital Media server 1.0.2 Опасность: Высокая Наличие эксплоита: Да Описание: Несколько уязвимостей обнаружено в Keene Digital Media server. Удаленный авторизованный пользователь может получить административный доступ. Удаленный пользователь может выполнить XSS нападение. Удаленный авторизованный пользователь может напрямую запросить 'adminshares.kspx' и 'adminmessage.kspx' сценарии, как и другие административные страницы, чтобы получить административный доступ к приложению. XSS уязвимость обнаружена в сценариях 'slideshow.kspx', 'dlasx.kspx', и 'mediashowplay.kspx': http://[host]/dms/slideshow.kspx?shidx=0&idx=-1&sort=d&style="t&delay=15&playmode=play&source=[code]" http://[host]/dms/slidesh ow.kspx?source=[code] http://[host]/dms/dlasx.kspx?shidx=[code] http://[host]/igen/?pg=dlasx.kspx&shidx=[code] http://[host]/dms/mediashowplay.kspx?pic=[code]&idx=0 http://[host]/dms/mediashowplay.kspx?pic=0&idx=[code] URL производителя:http://www.keenesoftware.com/ Решение:Способов устранения обнаруженной уязвимости не существует в настоящее время.

Keene Digital Media server 1.0.2 Multiple vulnerabilities