Trend Micro IS Pro
Vzdálený uživatel může zneužít chybu v bezpečnostní aplikaci Trend Micro Internet Security Pro verze 2010, což pro něj znamená možnost spuštění škodlivého kódu na zasaženém systému. Zranitelnost se projeví poté, kdy modifikovaný soubor ve formátu HTML způsobí chybu v přístupu do paměti ve funkci extSetOwner() ovladače ActiveX UfPBCtrl.dll a spustí vložený kód na systému (aktivovaný bude s právy aktuálně přihlášeného uživatele). Hotfix na odstranění tohoto problému je již k dispozici.
HP Software Distributor
Mnoho informací nebylo zveřejněno o kritické chybě v aplikaci HP Software Distributor, která umožňuje uživateli získat na zasaženém systému absolutní práva. Zneužít toho může např. k neoprávněné vzdálené správě či řízení softwaru v rámci příslušeného systému. Ví se jen, že chyba je lokálně zneužitelná a že výrobce promptně vydal příslušné aktualizace softwaru.
Zranitelný IBM AIX FTPD
Vzdálený (leč autentizovaný) uživatel může neoprávněně spustit škodlivý kód na systému, který je vybaven aplikací IBM AIX FTPD (verze 5.3 a předchozí). Stane se tak poté, co pošle upravený HLST příkaz, jehož vykonání způsobí přetečení zásobníku a následné spuštění škodlivého kódu. Při některých nastaveních (kdy je umožněn FTP přístup pro zápis) pak útočník dokonce může zneužít svůj přístup k neoprávněnému získání hashů zašifrovaných pomocí algoritmu DES. Aktualizace již byla vydána.
Děravý RealPlayer
Hned na několik problémů se mohou „těšit“ uživatelé aplikace RealPlayer. Jde o možnost spuštění škodlivého kódu či neoprávněné kopírování některých souborů. K těmto stavům lze dojít skrze několik cest: například s pomocí upravených souborů formátu QCP, FLV, IVR, MP4 či HTML. Problém se týká aplikací RealPlayer SP před 1.1.5 a RealPlayer 11.x, ale jen ve verzích pro Windows (ostatní platformy jsou problémem nezasaženy). Aktualizace softwaru je již k dispozici.
Novell Identity Manager
Potřebujete získat přístup k heslům? Žádný problém - alespoň pokud používáte Novell Identity Manager ve verzi 3.6.1, která k nim kvůli chybě umožňuje neoprávněně získat přístup. Během instalace se totiž hesla ukládají do souboru /tmp/idmInstall.log – a protože přístup k němu není jakkoliv blokován, není nic jednoduššího, než do něj nahlédnout. Oprava softwaru nebyla v době uzávěrky tohoto čísla Computerworldu k dispozici, výrobce prozatím jen doporučuje odstranit po instalaci nebezpečný soubor idmInstall.log.
HP Insight DOE
Vzdálený útočník může provést XSS (Cross-Site Scripting) útok proti systému HP Insight Diagnostics Online Edition pro Linux (verze předcházející 8.5.0-11). A to proto, že software nedostatečně filtruje HTML kód na vstupu předtím, než zpracuje a zobrazí výstup. Případný vložený škodlivý software bude spuštěn v rámci stránky HP Insight Diagnostics a v jejím bezpečnostním kontextu. Důsledkem toho je fakt, že kód je schopen přistupovat ke cookies (včetně autentizačních), datům do aktuální stránky vložených uživatelem, či vykonávat za něj některé akce. Verze 8.5.0-11 je již opravena.
PŘEDPLATNÉ
ČLÁNKY DO MAILU