JohnnyCage

Microsoft: Négy új biztonsági figyelmeztetés, és javítás

A szoftveróriás négy új, biztonsági résekről szóló figyelmeztetést tett közzé weboldalán, amelyek közül a legsúlyosabb hiba lehetővé teszi az SQL Server 2000 adatbázis funkcióinak, illetve a rendszer egészének az átvételét a támadó számára.

A hét közepén kiadott négy figyelmeztetés a társaság új közlemény irányelvei szerint jelent meg, mondta Scott Culp, a Microsoft számítógépes biztonság részlegének menedzsere. - Azt szeretnénk, ha a megjelenési időt tekintve kiszámíthatóbbak lennének ezek a közelmények - mondta Culp. - Mindezzel elérhető, hogy a rendszeradminisztrátorok a kiadást követően minél hamarabb el tudják végezni a javítások feltelepítését - tette hozzá a vezető.

A négy újonnan kiadott biztonsági figyelmeztetésből a legsúlyosabb probléma az SQL Server 2000 megoldást érinti, és a szoftver azon új funkciójában található, amely lehetővé teszi, hogy egy szerver az adatbázis szoftver több példányát is futtassa egyszerre.

A szoftver biztonsági réseiből kettő a már jólismert buffer overflow (puffer túlcsordulás) típusú hiba, amely lehetővé teszi a támadók számára a számítógép feletti irányítás megszerzését. Egy harmadik SQL Server 2000 hiba Denial-of-Service (DoS) támadás indítását teszi lehetővé. Ha a támadó egy megfelelően kialakított parancsot küld a szoftvernek, a program azonos parancsot küld vissza a forrásnak. Mindezzel elérhető, hogy kettő vagy több SQL Servert tartalmazó számítógép végtelen ciklusba keveredjen. Ezt a ping-pongot csak el kell indítani, és fenntartja önmagát.

A három másik biztonsági figyelmeztetés az Exchange Serverhez, a metadirectory szolgáltatáshoz, illetve szintén az SQL Server 2000-hez kapcsolódik. A Microsoft biztonsági közleményei a http://www.microsoft.com/security/ címen érhetők el.

Hozzászólások

A témához csak regisztrált és bejelentkezett látogatók szólhatnak hozzá!
Bejelentkezéshez klikk ide
(Regisztráció a fórum nyitóoldalán)
  • Johann #5
    AI: És persze azt sem felejtsd el. hogy amíg egy nyilt forrás esetén a hibát "bárki" felderítheti, addig a zárt kódok esetén egy fejlesztö szándékos közremüködésével kijátszhatnak egy kormányhivatalt, vagy egy teljes hadsereget! Itt most nem a buglista a lényeg, hanem az hogy kinek a kezébe kerül egy ország biztonsága! Gondold csak át mit jelentene egy olyan eset, ha pl. a NATO összes gépén MS szoftver futna (szerverek, stb.), és mindegyikben lenne egy ilyen rejtett kiskapu (mint ahogy van is!), elég lenne kiadni jó pénzér binláden féle alakoknak, és kész is a buli! A fejesek meg kapkodhatnának a már nem létezö fejükhöz, hogy milyen jó is egy közös platformon (MS Winfos) futtatni a rendszereket!
    Sajnos Bill Gates ezt szeretné! Minden gépen MS szoftver! Mekkora baromság! Ki lenne a világ szolgáltatva nekik! 100%-osan! Már így is majdnem ez van! De úgy látszik erre kezdenek ráébredni a kormányzatok! Van rá elég példa: a németeknél is cserélik le (most nem tudom pontosan hol, meg kik) a teljes rendszert, megbízhatósági okok miatt!
  • Johann #2
    Egyszer mindenre fény derül... :)

    És akkor nekünk már tényleg nagyon jó lesz! Hiába hacker-kedik a RIAA, meg a többiek, hiszen atombiztos lesz a rendszerünk! :)

    Csak sajnos ez még súlyos hónapokba, évekbe kerül..., és tény az, hogy a nagyobb biztonságot igénylő szervezetek (kormány, honvédség stb.) hite kezd megingani a zárt forráskódú rendszerekben, mert nem tudni még milyen bombákat rejthet számukra!
    Gondoljatok csak bele, hogy milyen következményekkel járna, ha mondjuk a USA hadseregének a hálózata egy ilyen hiba miatt nyitott könyvvé válna? Esetleg megbénitanák, vagy csak téves információkkal zavarnák meg...