awender
Súlyos biztonsági hiba az Accessben
Egy speciálisan átalakított adatbázis megnyitásával a számítógépen tetszőleges kódot hajthat végre a támadó.
A biztonsági rés az összes modern Access verziót érinti. Az átalakított "mdb" adatbázis megnyitásakor memóriatúlcsordulás miatt a beágyazott programkód végrehajtódik. Minden egyéb MS felhasználói programot is érint a hiba, mely a 4.00.8618-as msjet40.dll -t használja. A Hexview biztonsági cég által felfedezett hiba már március óta ismert, erről azonnal tájékoztatták a Microsoftot. A redmondi cég részéről semmilyen reakció nem érkezett. A Hexview a biztonsági kockázatot "magas" besorolással regisztrálta.
A Hexview nem csak a Microsoft biztonsági problémáival foglalkozik. Általában a problémát azonnal jelzik, majd várnak 24 órát. Ha nem kapnak választ, vagy mint a Microsoft esetében, csupán egy automatikus válaszlevelet kapnak, a biztonsági réssel kapcsolatos információt publikálják. Magas besorolású eseteknél 72 órát várnak. A biztonsági réssel kapcsolatos pontos leírás megtalálható a cég weblapján.
Rendkívüli óvatosságra int az a tény is, hogy az interneten már elérhető a programkód, mely a hibát kihasználja és szemlélteti is. A kód megtekinthető itt.
A biztonsági rés az összes modern Access verziót érinti. Az átalakított "mdb" adatbázis megnyitásakor memóriatúlcsordulás miatt a beágyazott programkód végrehajtódik. Minden egyéb MS felhasználói programot is érint a hiba, mely a 4.00.8618-as msjet40.dll -t használja. A Hexview biztonsági cég által felfedezett hiba már március óta ismert, erről azonnal tájékoztatták a Microsoftot. A redmondi cég részéről semmilyen reakció nem érkezett. A Hexview a biztonsági kockázatot "magas" besorolással regisztrálta.
A Hexview nem csak a Microsoft biztonsági problémáival foglalkozik. Általában a problémát azonnal jelzik, majd várnak 24 órát. Ha nem kapnak választ, vagy mint a Microsoft esetében, csupán egy automatikus válaszlevelet kapnak, a biztonsági réssel kapcsolatos információt publikálják. Magas besorolású eseteknél 72 órát várnak. A biztonsági réssel kapcsolatos pontos leírás megtalálható a cég weblapján.
Rendkívüli óvatosságra int az a tény is, hogy az interneten már elérhető a programkód, mely a hibát kihasználja és szemlélteti is. A kód megtekinthető itt.