Tweets by @buherablog
profile for buherator at IT Security Stack Exchange, Q&A for IT security professionals

A BitBetyár Blog

Túljártál a nagyokosok eszén? Küldd be a mutatványodat! (e-mail a buherator gmailkomra jöhet)

Full-Disclosure / Névjegy / Coming out


Promó

H.A.C.K.

Címkék

0day (110) adobe (87) adobe reader (21) anonymous (26) apple (60) az olvasó ír (49) blackhat (20) botnet (22) bug (200) buherablog (44) buhera sörözés (39) bukta (49) deface (38) dns (22) dos (29) esemény (82) facebook (26) firefox (64) flash (33) gondolat (31) google (59) google chrome (36) hacktivity (37) hírek (117) incidens (224) internet explorer (88) iphone (35) java (50) jog (22) kína (21) kriptográfia (68) kultúra (21) linux (24) malware (43) microsoft (142) móka (48) mozilla (23) office (26) oracle (40) os x (43) patch (197) php (20) politika (31) privacy (58) programozás (22) safari (34) sql injection (62) windows (85) xss (77) Címkefelhő

Licensz

Creative Commons Licenc

Microsoft frissítőkedd - 2009. október

2009.10.14. 09:19 | buherator | Szólj hozzá!

A Microsoft ehónapban rekord méretű frissítőcsomagot tett közzé, amely végre orvosolja a már sokat emlegetett, távoli kódfuttatásra alkalmas SMBv2 sebezhetőséget, és az FTP szolgáltatás hasonlóan veszélyes hibáját is.

Javításra került ezeken kívül négy kritikus besolorlású, Internet Explorer sebezhetőség, melyek a szoftver összes támogatott változatát érinti, és kódfutattást tesznek lehetővé speciális weboldalakon keresztül.  A problémát a Windows Presentation Foundation hibája okozza, és mivel a .NET Framework 3.5 SP1 kérdés nélkül telepíti ezt a komponenst a Firefox-ba is, a Mozilla böngészője is sebezhetővé válik! Imádom, amikor a kedves gyártók jobban tudják, mit szeretnének a júzerek :)

Tovább gyűrűzik a .NET keretrendszer ATL-jei körül kialakult pánik is, újabb sebezhető vezérlőket találtak ugyanis a sablonkönyvtárban. A Microsoft a sebezhető kódok javításával, és a hibás vezérlők killbitjeinek beállításával igyekszik úrrá lenni a helyzeten. A keretrendszert ezen kívül több sandbox-kitörésre, pontosabban a Code Access Security által szabott határok átlépésére alkalmas probléma is súlytotta. Ezek a következő esetekben okozhatnak problémát:

  • Egy böngészőn keresztül ártó szándékú XBAP alkalmazásokat használunk.
  • Megbízhatatlan ASP.NET alkalmazásokat futtatunk, pl. shared-hosting környezetben. 
  • Megbízhatatlan hálózati megosztásokról származó .NET alkalmazásokat futtatunk

Az utolsó javított kritikus sebezhetőségcsalád a GDI+ képmegjelenítőt érintette, és hatással volt többek között az Office különöbző váltoataira, a Visual Studiora és az SQL Serverre, sőt, a Forefront Client Security-ra is. A redmondiak az alapvető hibajavításokon túl ebben a hónapban egy már régebb óta opcionálisan telepíthető szolgáltatást is alapértelmezetté tettek, ennek segítségével a rendszergazdák fájltípusonként letilthatják a különböző formátumú képek megjelenítését. 

A többi, kevésbé súlyos sebezhetőséggel kapcsolatos információkért forduljatok a Microsoft vonatkozó oldalához!

U.i.: Javították a NULL karakterrel bűvészkedős sebezhetőséget az X.509-es tanúsítványok feldolgozását végző CryptoAPI-ban is, jessz!  

Címkék: microsoft patch .net ftp atl gdi smbv2

Kommentek:

A hozzászólások a vonatkozó jogszabályok  értelmében felhasználói tartalomnak minősülnek, értük a szolgáltatás technikai  üzemeltetője semmilyen felelősséget nem vállal, azokat nem ellenőrzi. Kifogás esetén forduljon a blog szerkesztőjéhez. Részletek a  Felhasználási feltételekben és az adatvédelmi tájékoztatóban.

Nincsenek hozzászólások.