Przeglądanie kategorii

Aktualności

Nowe biuletyny Microsoftu

Wczorajszego dnia Microsoft opublikował dziesięć nowych biuletynów bezpieczeństwa, z czego siedmiu nadano status krytyczny.

I tak na tej stronie znajdziemy opis biuletynów:

MS04-029: dotyczy luki związanej z RPC, która może być wykorzystana do wycieku informacji lub do przeprowadzenia ataku denial of service (biuletyn ma status: ważny).

MS04-030: luka związana z przetwarzaniem komunikatów WebDAV, efektem może być denial of service (status: ważny).

MS04-031: luka przepełnienia bufora związana z serwisami NetDDE, umożliwiająca zdalne wykonanie kodu. Uwaga: serwisy te nie są domyślnie uruchomione (status: ważny).

MS04-032: biuletyn opisuje szereg luk w Windows, z których jedna może być wykorzystana do zdalnego wykonania dowolnego kodu (w tym celu wymagane jest działanie ze strony użytkownika zalogowanego na systemie), dwie umożliwiają zwiększenie przywilejów przez użytkowników zalogowanych lokalnie na systemie, a jedna dotyczy denial of service na poziomie jądra systemu (status: krytyczny).

MS04-033: luka związana z Microsoft Excel, umożliwia zdalne wykonanie kodu z przywilejami zalogowanego użytkownika, poprzez np. odpowiednio spreparowaną stronę WWW (status: krytyczny).

MS04-034: luka w sposobie obsługi skompresowanych (zzipowanych) katalogów przez Windows, umożliwia zdalne wykonanie kodu – w tym celu wymagane jest, aby użytkownik uruchomił odpowiednio spreparowany plik (status: krytyczny).

MS04-035: luka w komponencie SMTP w Windows, umożliwiająca zdalne wykonanie dowolnego kodu poprzez wysłanie odpowiednio spreparowanego pakietu DNS (status: krytyczny).

MS04-036: luka w komponencie NNTP w Windows, umożliwiająca zdalne wykonanie dowolnego kodu (status: krytyczny).

MS04-037: luka związana ze sposobem, w jaki Windows Shell uruchamia aplikacje, umożliwiająca zdalne wykonanie kodu. Biuletyn także opisuje drugą lukę, związaną z Program Group Converter. Obydwie luki wymagają działania ze strony użytkownika zalogowanego na systemie (status: krytyczny).

MS04-038: biuletyn opisuje osiem luk związanych z IE, które potencjalnie umożliwiają zdalne wykonanie kodu na systemach Windows (status: krytyczny).

Źródło informacji: CERT Polska

Estonia internetowym przykładem dla innych

Wycieczki z państw rozwijających się coraz częściej trafiają do Talinna. Nie po to jednak, żeby zwiedzać, lecz brać lekcje. Estończycy w ciągu ośmiu lat stali się jednym z najbardziej rozwiniętych społeczeństw informatycznych Europy.

Skok Tygrysa – pod taką nazwą krył się jeden z najbardziej innowacyjnych europejskich programów rozwojowych. Ruszył w 1996 roku i zapewnił Estonii renomę w świecie. W ramach programu rozpoczęto masowe szkolenia nauczycieli informatyki i rozbudowę infrastruktury. Dzięki niemu 75 proc. estońskich szkół może się pochwalić szerokopasmowym dostępem do internetu, a prawie co drugi obywatel korzysta z sieci WWW. Na dodatek, jak twierdzą Estończycy, zmiany udało się wdrożyć przy stosunkowo niskich nakładach.

Po lekcje do Talinna przyjeżdżali już przedstawiciele rządów Albanii, Bułgarii, Gruzji, Kirgistanu, Mongolii, Namibii i Sri Lanki. Estonia jako pierwszy kraj w UE wprowadziła całkowicie elektroniczny system wymiany dokumentów pomiędzy ministerstwami, a następnie wprowadziła go do obrad rządu. Estońscy ministrowie nie wydają już rozporządzeń na papierze, a przebieg obrad rejestrowany jest w postaci plików cyfrowych. Drogą Estonii nie idzie na razie żaden z krajów Unii Europejskiej, ale Namibia, która po konsultacjach z rządem w Talinnie zaczęła wdrażać podobny projekt.

Jak działa estoński system? Każdy obywatel może otrzymać specjalną kartę identyfikacyjną. Za pomocą karty można się zalogować do portalu obywatelskiego. Za jego pośrednictwem ma się dostęp do większości formularzy elektronicznych, które wysyła się bezpośrednio do odpowiednich urzędów. Niemal 80 proc. Estończyków rozlicza się z urzędami podatkowymi za pośrednictwem szyfrowanych połączeń internetowych. Przez sieć można się ubiegać o zasiłki rodzinne. „Chcemy, żeby e-usługi ułatwiały życie. Nie zawsze będzie to tańsze, ale na pewno wygodniejsze” – powiedział agencji AFP Ivar Tallo z estońskie Akadaemii e-Administracji. System pozwala już na płatności online. Estonia przygotowuje już kolejny skok, który pozwoli obywatelom na płacenie za usługi administracyjne za pomocą komórek.

Źródło informacji: Gazeta.pl

Zobacz również:
– Internet szerokopasmowy: Polska na czele nowych krajów UE
– Estonia postawiła na internet, by promować społeczeństwo obywatelskie

Bezpieczny Intel

Intel rozpoczyna sprzedaż procesorów wyposażonych w technologię XD-bit, zwiększającą bezpieczeństwo komputerów biurkowych.

Producent dostarcza takie układy swoim odbiorcom od kilku tygodni. Teraz chipy zaczynają być dostępne dla użytkowników. Układy z funkcją „Execute Disable bit” są oznaczone rozszerzeniem „-J”. Pierwsze procesory tego typu dostępne na rynku to Celeron D 340J, 335J, 330J oraz 325J. Ich ceny są identyczne lub minimalnie wyższe od cen analogicznych procesorów bez zabezpieczenia XD-bit. Do tej pory Intel stosował tę funkcję tylko w procesorach dla serwerów i stacji roboczych.

Funkcja „Execute Disable bit” chroni wybrane regiony pamięci przed umieszczeniem i uruchomieniem potencjalnie niebezpiecznego kodu. Rozwiązanie współpracuje z systemami Windows XP SP2, Windows 2003 Server SP1, SUSE Linux 9.2 i Red Hat Enterprise Linux 3 Update 3. Podobne rozwiązanie w układach AMD jest znane pod nazwą NX-bit („Non-executable bit”).

Źródło informacji: X-Bit Labs

W sieci uważaj na hakerów

Dzisiejszy odcinek programu UWAGA! emitowany w stacji TVN o godzinie 19:45 poruszy temat hakerów oraz temat imprezy „Dzień Bezpiecznego Komputera”. W trakcie programu dwaj hakerzy pokażą jak łatwo włamać się na strony internetowe.

Hackerzy, którzy zostali zaproszeni do studia są wysokiej klasy specjalistami. Z łatwością włamują się do wszystkich systemów komputerowych. Czy wystarczy im umiejętności, by włamać się na strony dwóch partii politycznych? Jeśli tak, zostawią na tych stronach znaczek UWAGI!

Ponadto o godzinie 00:05 również w stacji TVN przeprowadzona będzie rozmowa w ramach inicjatywy „Dzień bezpiecznego komputera”, a dotycząca bezpieczeństwa w bankach.

Nie dajmy się podejść oszustom w sieci

Nie ma nic bardziej upokarzającego niż dać się okraść we własnym domu. I to na dodatek samemu otworzyć drzwi złodziejowi. W zeszłym roku spotkało to prawie 100 mln osób na całym świecie. Wielu z nich dało się nabrać na proste e-maile, których autorzy, podszywając się pod uznane instytucje finansowe, starali się wydobyć od internautów informacje na temat ich rachunków bankowych.

Zjawisko to zwane phishingiem przybiera na sile. Cybernetyczni przestępcy wyjątkowo często w tym roku pukają do naszych skrzynek pocztowych. W lipcu organizacja Anti-Phishing Working Group wykryła ponad 1,9 tys. tego typu ataków. Dla porównania w grudniu 2003 roku było ich zaledwie 116. Jeden atak oznacza w praktyce od tysięcy do milionów rozesłanych e-maili. Tylko w zeszłym roku 78 mln Amerykanów ujawniło oszustom swoje dane osobowe – wynika z danych firmy badawczej Gartner. Straty szacuje się na 1,3 mld dol.

Jak działa mechanizm wyłudzania danych? Do internautów trafiają e-maile przypominające graficznie strony internetowe np. banków. W liście bank informuje nas o tym, że musimy zweryfikować swoje dane lub zweryfikować ostatnią transakcję, jakiej dokonaliśmy. Po kliknięciu na link jesteśmy przekierowywani na stronę do złudzenia podobną do strony banku. Jest ona oczywiście fałszywa, a my, podając nasze dane, odsłaniamy się na atak oszustów. Przestępcy najczęściej zainteresowani są hasłami i kodami do rachunków bankowych. W Polsce podobne e-maile imitowały m.in. strony mBanku i Citibanku. Okazuje się, że 5 proc. odbiorców oszukańczych e-maili na nie odpowiada.

Phishing może przybierać także inne formy. Jeden z najsłynniejszych ataków przeprowadził w styczniu rosyjski złodziej ukrywający się pod pseudonimem Robotector. Wysłał on e-mail o treści „Wciąż Cię kocham” do 3 mln osób. Po otwarciu wiadomości uruchamiał się program, który przez następne kilkanaście dni śledził, czy użytkownik nie wchodzi na jedną z 30 stron bankowych na świecie. Kiedy internauta chciał dokonać przelewu, program przechwytywał treść wpisywaną z klawiatury (czyli hasło i PIN) i wysyłał dane do Robotectora. Przed takimi próbami można się zabezpieczyć tak jak przed wirusami (patrz poprzednia część cyklu). Trzeba także unikać otwierania wiadomości i załączników od nieznanych osób.

Coraz rzadziej stosowane, ale wciąż popularne są e-maile oferujące udział w intratnym przedsięwzięciu, na którym można zarobić dużo pieniędzy. Niby wszystko jest w porządku, ale czemu ktoś, kogo nie znasz, miałby Ci oferować pieniądze? Tego typu e-maile zyskały już nawet nazwę „nigeryjskiego przekrętu”, bowiem większość ofert pochodziła właśnie z tego kraju.

Jeśli tylu oszustów kontaktuje się z nami za pomocą e-maila, samo nasuwa się pytanie: skąd mają nasz adres? Cyberprzestępcy podobnie jak twórcy wirusów wykorzystują do tego specjalne programy, które badają strony internetowe i wyłapują z nich adresy e-mailowe. Jeśli chcemy uniknąć niechcianych e-maili (tzw. spamu) i ofert oszustów, wystarczy, że nie będziemy publikowali na forach internetowych naszego adresu.

Oszuści upodobali sobie także aukcje internetowe. Tutaj mogą czuć się anonimowo. W największym polskim serwisie aukcyjnym Allegro niejednokrotnie zdarzały się już przypadki oszustw. Najgłośniejsze z nich dotyczyły najczęściej wyjątkowo atrakcyjnych ofert, w których sprzedający np. monitory ciekłokrystaliczne wymagali wpłaty pieniędzy na rachunek bankowy przed wysłaniem towaru. Oszuści zwykle od miesięcy przygotowywali się do dużego „skoku na kasę”. Przez kilka lub kilkanaście tygodni sprzedawali na aukcjach drobne przedmioty. Każda sprzedaż zwiększała im renomę w serwisie aukcyjnym. Kiedy byli już wystarczająco wiarygodni – przedstawiali ofertę nie do odrzucenia. Osoby, które chwytały okazję, wpadały w pułapkę.

Najbardziej spektakularne przypadki miały miejsce stosunkowo niedawno. Policja aresztowała rodzinę z Lęborka, której udało się wyłudzić w ten sposób 25 tys. zł. Trzy osoby – 69 letnia babcia, jej 18-letni wnuczek i matka dziecka – sprzedawały m.in. telefony komórkowe. Było to ich główne źródło utrzymania. Ich ofiarą padło w sumie 13 osób. Niedawno oszust o nicku komputery00, który sprzedawał na aukcji dyski twarde i pamięci do komputerów, nabrał co najmniej 46 osób na kwotę ok. 60 tys. zł. Poszkodowani stworzyli forum internetowe.

Przed phishingiem i nieuczciwymi sprzedawcami można się w prosty sposób obronić. Ich skuteczność to przede wszystkim efekt nierozwagi użytkowników.

Źródło informacji: Gazeta.pl

Zobacz również:
– Babcia z wnuczkiem zarabiali na oszustwach internetowych
– Przez internet oszukał 250 osób
– Grupa przestępców internetowych okradała klientów Citibanku
– Kupowanie przez Internet staje się niebezpieczne
– Policja zatrzymała 17-letniego oszusta internetowego
– Ujęto kupującego w internecie za pieniądze z cudzych kont
– ISS w walce przeciw internetowym oszustom
– Policja kontra oszuści z internetowych aukcji
– Policja zatrzymała internetowych oszustów
– Kolejne internetowe oszustwo

Dzień Bezpiecznego Komputera a może Dzień Bezpiecznego Windows?

Dziś jest obchodzony Dzień Bezpiecznego Komputera, czyli nowa cykliczna inicjatywa edukacyjna skierowana do milionów użytkowników komputerów i internautów w całej Polsce. Od tego roku data 12 października zostanie na trwale zapisana w kalendarzu najważniejszych wydarzeń jako dzień promocji bezpieczeństwa sieciowego i komputerowego. Ale czy inicjatywa ta na pewno jest tym, czego spodziewała się większość użytkowników komputerów?

Głównym celem projektu jest dotarcie z informacjami na temat sposobów zapobiegania zagrożeniom płynącym z sieci (wirusom, robakom, włamaniom hakerskim itp.) do jak najszerszej grupy odbiorców, zarówno z firm i organizacji, jak i użytkowników domowych oraz uświadomienie im czyhających zagrożeń. Przede wszystkim jednak akcje podejmowane w ramach projektu będą ukierunkowane na informowanie o tym, jak skutecznie zabezpieczyć komputer czy sieć by skutecznie przeciwdziałać zagrożeniom płynącym z sieci Internet.

Terminarz Dnia Bezpiecznego Komputera wypełniony jest szeregiem atrakcyjnych działań skierowanych do: uczniów szkół i uczelni wyższych, specjalistów IT oraz wszystkich użytkowników komputerów. W tym czasie na terenie całego kraju odbędą się m.in. lekcje w wybranych szkołach podstawowych i wyższych związane z zagadnieniem zapobiegania zagrożeniom płynącym z sieci. Telewizja i radio będą emitowały materiały dotyczące sposobów zabezpieczania komputerów, ukaże się także seria publikacji prasowych na ten temat (dzisiejszy odcinek programu UWAGA! emitowany w TVN o godzinie 19:45 poruszy temat hakerów oraz temat tytułowej imprezy). Tego dnia wystartują również 3 konkursy z wiedzy o bezpieczeństwie komputerowym skierowanych do różnych odbiorców.

Szlachetna inicjatywa, która została objęta przede wszystkim honorowym patronatem Prezydent Rzeczypospolitej Polskiej Aleksander Kwaśniewski a wsparcia udzieliły także Ministerstwo Edukacji Narodowej i Sportu oraz Ministerstwo Nauki i Informatyzacji okazuje się być nie do końca tym, czym większość się spodziewała.

Otóż inicjatywa odbywa się pod hasłem „Dzień bezpiecznego komputera”, a nie „Dzień bezpiecznego Windows” – nie byłoby powodu do narzekań, jeśli odbywałaby się pod tym drugim hasłem, jednak obecna nazwa sugeruje ogólną akcję na rzecz bezpieczeństwa osób używających komputerów z systemem Windows. Przykładem tego może być to, że według informacji zawartych na stronach w celu zapewnienia sobie bezpieczeństwa należy używać najnowszych wersji produktów firmy Microsoft, co w przypadku samego upgrade’u do Windows XP może kosztować bardzo dużo pieniędzy. Ogólnie gdyby nie ten fakt, inicjatywa byłaby dobrą okazją, aby wspomnieć o używaniu innych alternatywnych produktów do popularnych narzędzi czy też systemów operacyjnych, które w niektórych przypadkach mogą okazać się tańszym wyborem. Jednak tych informacji tam nie ma – właśnie, dlatego, że jest to kampania ściśle promocyjna ukierunkowana na jeden produkt. A ponieważ jest ona „zakamuflowana” – nie jawna – zwykły użytkownik potraktuje to jako rzetelne, obiektywne informacje. Tym samym jest to działanie zdecydowanie nieuczciwe ze strony tych firm.

Bolącym faktem jest to, że w ramach inicjatywy niestety nie wspomniano o bezpieczeństwie innych alternatywnych systemów operacyjnych choćby o Linuksie. Oczywiście kwestia użycia innych systemów niż Windows, który znacznie zwiększa bezpieczeństwo nie jest prawdziwa i nie należy jej brać pod uwagę, bo przecież system, którego używamy nie jest wyznacznikiem bezpieczeństwa – wszystko jest zależne od administratora czy też osoby korzystającego z danego systemu i jej wiedzy w kwestii bezpieczeństwa. Dyskusji podlega również temat kosztów i ilości pracy włożonej w zabezpieczenie systemu, niemniej jednak przewaga jednego systemu nad drugim (w obie strony) jest niezwykle dyskusyjna a teoria „Linux lepszy od Windows” ma się nijak w rzeczywistości.

Skoro zostały już poruszone tematy systemów Linux i Windows, należałoby również poruszyć tematy związane przykładowo z ich przeglądarkami internetowymi. Ostatnio coraz częściej odnotowuje się większe zainteresowanie alternatywnymi przeglądarkami wobec Internet Explorera, które okazują się być od niego bezpieczniejsze.

A zatem gdyby wspomniano o systemach operacyjnych czy też produktach innych niż te ze „stajni” Microsoft, z całą pewnością uświadomiłoby przyszłych klientów, że istnieje większy wybór. Niestety kampania ta nie mogłaby uzyskać miano „Dzień Bezpiecznego Komputera” a raczej „Dzień Alternatywnego Systemu / Produktu”, dlatego musimy trzymać się tematu bezpieczeństwa, a skoro mam trzymać się tematu bezpieczeństwa należałoby uwzględnić prawie wszystkie możliwie dostępne wersje systemów operacyjnych począwszy od Windows, BeOS, Novell, Linuks skończywszy na wszelkich systemach Unixopodonych i innych. Wówczas można by było powiedzieć, że kampania jest rzeczywiście trafna.

Pikanterii dodaje sam fakt dużego grona włączonych do projektu firm i organizacji, dla których kwestia bezpieczeństwa informatycznego jest ponoć priorytetowa. Są to m.in. firmy: Microsoft, Intel, Hewlett-Packard, Symantec, PKO Bank Polski, Telekomunikacja Polska, G DATA, i RSA Security oraz organizacje takie jak CERT (Computer Emergency Response Team) i Polska Izba Informatyki i Telekomunikacji.

Co ciekawsze inicjatywa została objęta również przez Prezydenta RP, a zatem jeśli kampania ma na celu reklamowanie i promowanie swoich produktów (i nic poza tym), to znaczy, że Prezydent promuje wybrane, prywatne firmy. Czy jest to celowe działanie, czy też firmy zostały wprowadzone w błąd?

Prawdziwa natura strony pokazana jest dokładnie w dziale „Inicjatorzy Radzą”. Jest on niczym innym jak przedstawieniem oferty kilku wybranych firm z branż związanych z bezpieczeństwem. Jesteśmy informowani, że aby być bezpiecznym należy koniecznie kupić produkty danej firmy zapewne, dlatego, że są one polecane przez Pana Prezydenta. Czy na pewno nad taką akcją – reklamą, robiącą ludziom wodę z mózgu – miał on sprawować patrononat?

Godnym potępienia jest to, że tak górnolotna, chwalebna idea, w rzeczywistości jest tylko jedną wielką marketingową hucpą, niemająca nic wspólnego z rzeczywistą dbałością o bezpieczeństwo użytkowników komputerów.

Jednak z drugiej strony nie należy obwiniać organizatorów choćby przykładowo za brak jakichkolwiek informacji na temat konkurencyjnych produktów, bo w końcu na zorganizowanie takiej imprezy i promowanie produktów wymagane jest spore zaplecze finansowe nie wspominając już o pokaźnej liście sponsorów w tym przypadku, których nie brakuje. A zatem powinniśmy zadać sobie pytanie czy problem tkwi po stronie producentów, którzy nie chcą promować innych produktów niż te pochodzące od Microsoft, a może jedynymi osobami, do których można kierować zarzuty to my sami. Skoro wielkich korporacji, inwestujących w Linuksa, nie stać na to, aby zaangażować się w tego rodzaju imprezy to niestety zadanie to spada na społeczność Linuksową ,a Ci zapewne rozłożą ręce ze względu na brak jakichkolwiek finansów na tego typu przedsięwzięcie. I jak widać koło się zamyka.

A zatem czy jest to celowe działanie polegające na reklamowaniu i promowaniu produktów sponsorów? Decyzje o tym pozostawiam Wam…

Źródło informacji: Wojciech Eysymontt, Infojama.pl, E-mail, Dzien Bezpiecznego Komputera

Luka w RealPlayer

eEye Digital Security odkryło krytyczny błąd w aplikacji RealPlayer. Luka umożliwia uzyskanie nieautoryzowanego dostępu do komputera ofiary na którym zainstalowano podatne wersje oprogramowania.

Błąd pozwala atakującemu na zdalne wykonanie kodu na maszynie ofiary. Podatność została zlokalizowana w bibliotece pnen3260.dll wykorzystywanej przez RealPlayer. Atakujący może uzyskać dostęp do systemu ofiary dzięki specjalnie spreparowanej stronie lub stworzeniu pliku, który zostanie uruchomiony w RealPlayer.

Udostępnione zostały odpowiednie poprawki dla podatnych wersji aplikacji.

Podatne wersje:

Windows:
RealPlayer 10.5 (6.0.12.1040 and earlier)
RealPlayer 10
RealPlayer 8 (Local Playback)
RealOne Player V2
RealOne Player V1

Mac Player:
RealPlayer 10 Beta for Mac OS X (Local Playback)
RealOne Player (Local Playback)

Linux Player:
Linux RealPlayer 10 (Local Playback)
Helix Player (Local Playback)

Źródło informacji: eEye Digital Security

Hakin9 – nowy numer

W bieżącym numerze magazynu Hakin9 znajdziemy m.in. artykuł „Jak zdemaskować nadawcę listu”, w którym zostały przedstawione sposoby wychwycenia informacji o prawdziwym nadawcy adresacie listu. Ponadto znajdziemy opis wraz z wykorzystaniem ciągów formatujących oraz bardzo obszerny artykuł na temat generowania szelkodów w Pythonie czyli jak napisać własny eksploit przy użyciu biblioteki InlineEgg.

Na uwagę zasługuje artykuł „Atak man in the middle na szyfrowane połączenia” poruszający, zresztą jak sama nazwa wskazuje temat szyfrowanych połączeń, czyli poufności przesyłanych rozmów poprzez protokół SSL oraz artykuł „Wybrane metody rozpoznawania honeypotów”, który uświadamia zagrożenia czające się w domyślnie skonfigurowanych narzędziach. Równie interesującym artykułem jest „Obrona przed atakami DDoS w Linuksie” z którego dowiemy się jak wykryć taki atak i jak przed nim się bronić.

Ponadto w numerze znajdziemy artykuł opisujący skanowanie portów z punku widzenia administratora, który przedstawi zagadnienia związane z samym skanowaniem jak i jego wykrywaniem.

Oprócz tego przedstawione zostały krótkie zastosowanie wraz z przykładami programów Sniffit, IPTraf, netwox i netwag oraz CyberKit.

Na dołączonej do czasopisma płycie CD znajduje się najnowsza wersja dystrybucji Hakin9 Live oraz tradycyjnie sporo narzędzi, dokumentację oraz tutoriale do artykułów „Atak man in the middle na szyfrowane połączenie Jabbera” i „Generowanie szelkodów w Pythonie”.

Otwarty Piknik Informatyczny

Otwarty Piknik Informatyczny jest organizowany przez Koło Naukowe Programistów (WFTiMK) oraz koło CPU (Wydział Mechaniczny). Piknik odbędzie się 14 października na kampusie Politechniki Krakowskiej przy ul. Warszawskiej 24, w programie wykłady Optimus S.A., Microsoft, Fundacja Proidea, warsztaty WarXing, 3D Studio MAX, Pocket PC, Java oraz prezentacje. Więcej informacji na tej stronie.

Luka w Microsoft Word

Jak donosi firma Secunia, wykryto lukę przepełnienia stosu w Microsoft Word. Lukę można potencjalnie wykorzystać do wykonania dowolnego polecenia z uprawnieniami użytkownika uruchamiającego program lub przeprowadzania ataku typu denial of service.

Aby wykorzystać lukę, atakujący musiałby nakłonić użytkownika do kliknięcią w odpowiednio spreparowany dokument Word. Dokument taki może być wysłany za pomocą e-maila. Niewykluczone, że pojawi się wirus korzystający z takiego mechanizmu propagacji.

Według Secunia, na atak podatne są:
– Microsoft Office 2000
– Microsoft Office XP
– Microsoft Word 2000
– Microsoft Word 2002

Na razie Microsoft nie udostępnił odpowiedniej łaty na tę lukę. Zalecane jest otwieranie tylko plików .doc znanego pochodzenia.

Więcej: http://secunia.com/advisories/12758/.

Źródło informacji: Secunia | CERT Polska