Компания Microsoft официально объявила об обнаружении 20 новых брешей в системе безопасности своих программ. Используя некоторые из них, злоумышленники могут получить возможность удаленно управлять чужими компьютерами. Примечательно, что «дыры», о которых идет речь, были найдены специалистами по безопасности довольно давно, но процедура создания патчей для них заняла продолжительное время. Большая часть уязвимостей считается очень опасной и требует немедленного установления «заплаток».
Компания опубликовала серию обновлений и призывает установить их в срочном порядке. Уязвимости были обнаружены фирмами, специализирующимися на обеспечении информационной безопасности, и независимыми исследователями, которые предупредили Microsoft о необходимости латания «дыр».
На сайте вывешена информация, касающаяся загрузки и установки обновлений для ликвидации обнаруженных уязвимостей, для скачивания представлены патчи для Windows NT 4.0, Windows 98 и более поздних версий ОС. Специалисты Microsoft присвоили трем из четырех «дыр» критический уровень, требующий немедленного внимания. Четвертый бюллетень был обозначен как важный. Бюллетени с критическим уровнем касаются 20 уязвимостей в различных версиях ОС Windows.
Первый бюллетень MS04-011 получил рейтинг критической важности и описывает почти полтора десятка уязвимостей в ОС Windows 98, Ме, 2000, ХР, NT и Server 2003. Злоумышленник, воспользовавшийся данными дырами, теоретически получает возможность выполнения в удаленной системе произвольного программного кода, в том числе, уничтожающего персональную информацию. Хакер может поднять до максимума уровень собственных привилегий, установить какое-либо программное обеспечение и украсть интересующие его файлы. В частности, ошибки переполнения буфера присутствуют в локальной подсистеме аутентификации пользователей LSASS, протоколе PCT, являющемся частью библиотеки SSL, компоненте Winlogon, использующемся при входе в систему, и модуле Negotiate Security Support Provider (SSP), обеспечивающем выбор протокола, по которому клиент будет обмениваться данными с сервером в процессе аутентификации. Кроме того, спровоцировать переполнение буфера можно, заставив жертву просмотреть сформированный особым образом графический файл в формате WMF или EMF.
Ряд других уязвимостей, описанных в MS04-011, обеспечивают проведение DoS-атак. Ошибки данного типа содержатся в облегченном протоколе доступа к каталогу (LDAP) и библиотеке SSL. Наконец, дыры в диспетчере служебных программ (Utility Manager), программном интерфейсе, применяющемся при вводе данных в таблицу локальных дескрипторов Local Descriptor Table (LDT), и модуле для работы виртуальной машины DOS (VDM) позволяют хакеру поднять уровень собственных привилегий. Софтверный гигант рекомендует при первой же возможности загрузить соответствующее обновление, устраняющее опасность.
Второй бюллетень, получивший индекс MS04-012, также связан с возможностью удаленного выполнения кода и организации DoS-атак на операционные системы вышеуказанных версий. Дыры в библиотеке RPC Runtime (используется при удаленном вызове процедур), службе RPCSS и некоторых других компонентах ОС носят рейтинг критической важности и требуют немедленного латания.
Наконец, последний из выпущенных во вторник бюллетеней безопасности, MS04-014, связан с компонентом Microsoft Jet Database Engine, который может присутствовать в операционных системах Windows 98, Ме, 2000, ХР, NT и Server 2003. Для организации атаки необходимо направить составленный особым образом запрос к приложению, использующему вышеназванный модуль. Результатом обработки такого запроса может стать выполнение в системе произвольного вредоносного кода. Дыра охарактеризована софтверным гигантом как важная.
Представитель службы оперативного реагирования Microsoft Стивен Тулуз (Stephen Toulouse) сообщил, что компания реагирует так быстро, как это возможно, при этом компания не хотела бы выпускать патчи до окончания их тестирования. Он также выразил мнение, что качество программных заплаток имеет чрезвычайно большое значение для клиентов компании, в результате чего Microsoft не имеет права на ошибку. "В настоящее время нельзя говорить о значительном увеличении сообщений об уязвимостях", - заключил г-н Тулуз.
По материалам compulenta.ru и Cnews
