На главную страницу AlgoNet В сотрудничестве с ZDNet
АРХИВ СТАТЕЙ 2002-2-11 на главную / новости от 2002-2-11
AlgoNet.ru
поиск

 

Место для Вашей рекламы!

 

Все новости от 11 февраля 2002 г.

Баги в серверном ПО Microsoft открывают двери для хакеров

Microsoft предупредила об уязвимости своего серверного ПО Exchange 2000 и сервиса дистанционного доступа Telnet, которые при определенных условиях могут стать для злоумышленников лазейкой в систему.

Баг Exchange позволяет хакерам просматривать или менять содержимое системного реестра сервера, в котором находится такая важная информация, как точная версия операционной системы и названия инсталлированных приложений. А воспользовавшись лазейкой в Telnet, можно инициировать атаку типа denial-of-service или выполнить код на целевой системе. Оба предупреждения появились на прошлой неделе.

Баг Telnet проявляется в сервисе Telnet Windows 2000 и Telnet Daemon в Microsoft Interix 2.2. Interix позволяет пользователям исполнять на Windows-системе Unix-приложения. Microsoft оценивает степень риска как среднюю, но другие организации считают его более серьезным. Например, организация Computer Incident Advisory Capability (CIAC) при правительстве США отнесла уязвимость к группе высокого риска.

В системах Windows 2000 Telnet устанавливается по умолчанию, но остается выключенным, то есть администратор должен сам запустить этот сервис. Сервер может подвергнуться атаке через интернет, если Telnet сконфигурирован так, что допускает работу с пользователями, находящимися за пределами сети компании. Microsoft выпустила патч для Telnet Service из Windows 2000. Предварительно нужно установить Windows 2000 Service Pack 1 или 2. Патч для Interix 2.2 здесь.

Уязвимость Exchange
Баг Exchange в худшем случае позволяет злоумышленнику войти в системный реестр и узнать подробности об установленном программном обеспечении или изменить содержимое реестра. Microsoft характеризует проблему как малоопасную, но WatchGuard Technologies присвоила ей среднюю степень риска.

Проблема кроется в Microsoft Exchange System Attendant, который помогает управлять системой Exchange. Чтобы обеспечить возможность дистанционного управления сервером, System Attendant изменяет параметры допуска к Windows Registry. Однако при этом он некорректно назначает привилегии группы Everyone, которыми обычно должны пользоваться лишь администраторы.

Microsoft предупреждает, что, хотя эти привилегии позволяют лишь просматривать реестр, в том случае, если он неправильно сконфигурирован, реестр может оказаться доступным и для редактирования. Информация, хранящаяся в реестре, также может помочь хакерам в организации атаки на сервер Exchange. Патч для Exchange Server 2000 находится здесь.

На этой неделе Microsoft планирует выпустить патч и для ошибки в MSN Messenger, которая позволяет любому веб-сайту перехватывать nickname IM и buddy list посетителя. А несколько дней назад из-за ошибки в сервисе идентификации Passport у геймеров возникли проблемы доступа к Microsoft Network. В августе Microsoft устранила дыру в Hotmail, которая позволяла посторонним читать переписку пользователей этой почтовой службы. 

 Предыдущие публикации:
2002-01-24   Академия наук: за глюки ─ под суд
2002-01-31   Microsoft объединила поправки к Windows 2000
2002-02-08   Microsoft поднимает разработчиков по учебной тревоге
 В продолжение темы:
2002-02-26   Microsoft предупреждает о серьезных ошибках
2002-05-30   Microsoft бьет тревогу по поводу дыры в Exchange
Обсуждение и комментарии
RoN - rodionlenta.ru
11 Feb 2002 8:56 PM
Никак не пойму, чё за понт такие статьи публиковать? "Оба предупреждения появились на прошлой неделе". Ну так вот, кому нужно было, тот об этом ещё на прошлой неделе и узнал.
 

Qrot
11 Feb 2002 10:29 PM
2RoN: да ладно, хоть ссылки на патчи дали для совсем тормознутых.
ЗЫ: и заголовок, как всегда, имеет мало общего с содержимым.
 

Волков
11 Feb 2002 10:36 PM
Та просто автор пришёл в понедельник с утра на работу, надо написать 10 статей минимум по 5 килобайт каждая. Он садится и просматривает все компьютерные новости за пятницу (с 5-и вечера -это когда он домой умотал), субботу и воскресенье. В результате и получаютя "предупреждения появились на прошлой неделе".
 

glassy
12 Feb 2002 9:09 AM
Все трое ошибаетесь :)

Статья куплена M$, чтобы народ вроде леммингов, тащащихся по этому дизайну, патч скачала :)
 

RoN - rodionlenta.ru
12 Feb 2002 3:27 PM
Мир кишит заговорами...
 

qwerty
12 Feb 2002 6:24 PM
Паранойя, однако. К вопросу о вечном: кто-нибудь получал MS02-005? Может я прощелкал эту тему, что-то не пойму патч к Internet Explorer лечит или нет. (format c:/u лечит всё)
 

RoN - rodionlenta.ru
12 Feb 2002 10:52 PM
2 qwerty: Гляди, а ведь правда какой-то баг. По мс-технетовской рассылке почему-то эта тема не приехала :-(
 

qwerty
13 Feb 2002 1:12 PM
Баг в рассылке сообщений о багах. Круто. Сегодня пришел MS02-006. А MS02-005 так и не появился.
 

RoN - rodionlenta.ru
14 Feb 2002 12:40 AM
2 qwerty : LOL !!! :-))
"Баг в рассылке сообщений о багах" - это надо будет запомнить :-))
 

 

← январь 2002 6  7  8  10  11  12  13  14  15 март 2002 →
Реклама!
 

 

Место для Вашей рекламы!