Microsoft kom i går kveld, norsk tid, med sikkerhetsfikser til flere av selskapets produkter. Disse fjerner i alt åtte sårbarheter fordelt på SQL Server, Exchange Server, Internet Explorer og Visio.
Sårbarheter i samtlige av de fire produktene kan åpne for fjernkjøring av vilkårlig kode.
I Internet Explorer 7 har det blitt fjernet to sårbarheter. Den ene er knyttet til måten Internet Explorer håndterer forsøk på tilgang til objekter som har blitt slettet. Den andre er knyttet til nettleserens håndtering av stilsett (CSS).
Begge deler kan utnyttes av ondsinnede ved hjelp av spesielt utformede websider. Resultatet er korrupt minne og tilgang til kjøring av vilkårlig kode.
Internet Explorer 6 er ikke berørt av disse sårbarhetene.
Også i Exchange Server, versjonene 2000, 2003 og 2007 med de nyeste servicepakkene, er det nå blitt fjernet to sårbarheter. Den ene sårbarhetene skyldes måten Exchange Server dekoder TNEF-dataene (Transport Neutral Encapsulation Format) til en melding, noe som kan føre til korrumpering av minnet. Dette åpner for fjernkjøring av vilkårlig kode.
Den andre sårbarheten regnes som mindre alvorlig. Den er knyttet til håndteringen av MAPI-kommandoer i EMSMDB2-tilbyderen (Electronic Messaging System Microsoft Data Base, 32 bit build). Utnyttelse av sårbarheten vil få EMSMDB2-tilbyderen til å stoppe å henge. Dette påvirker Microsoft Exchange System Attendant, som bruker EMSMDB2-tilbyderen. Exchange System Attendant er en av nøkkeltjenestene i Exchange Server. Den utfører en rekke ulike funksjoner knyttet til det løpende vedlikeholdet av Exchange-systemet.
Sårbarheten i SQL Server berører 2000- og 2005-versjonene, inkludert Express Edition og Desktop Engine, samt Windows Internal Database.
Sikkerhetsfiksen regnes av Microsoft som viktig, for den fjerner en feil i måten SQL Server sjekker parametere i «sp_replwritetovarbin». Sårbarheten kan åpne for fjernkjøring av vilkårlig kode hvis uvedkommende får tilgang til et sårbart system eller hvis et slikt system har en åpning for SQL-innsprøytning. Dette vil gi angriperen full kontroll over systemet.
I Office-produktene Visio 2002, 2003 og 2007 er det nå blitt fjernet i alt tre sårbarheter. Samtlige forårsaker minnefeil ved åpning av spesielt utformede Visio-filer. Dette kan gi angripere tilgang til å kjøre vilkårlig kode med samme privilegier som Visio-brukeren selv.
Flere detaljer om sårbarhetene og sikkerhetsfiksene finnes denne siden.
Les også:
- [05.03.2009] Færrest sårbarheter i Opera i fjor
- [18.02.2009] Angrep i gang mot kjent IE7-sårbarhet
- [06.02.2009] Kritisk sårbarhet i Microsoft-server
