V červenci připravil Microsoft očekávané čtyři bezpečnostní opravy. V článku vám přinášíme pravidelný stručný popis zveřejněných oprav a možnost přímého stažení české varianty záplaty.
MS08-037 – zranitelnost ve službě DNS
Stupeň důležitosti: důležitá oprava
Postižené produkty: Windows 2000 SP4, Windows XP SP2 a SP3, Windows Server 2003 SP1 a SP2, Windows Server 2008
Služby DNS klient (KB951748) a DNS server (KB951746), které jsou integrovány do klientských i serverových operačních systémů Windows, obsahují bezpečnostní chybu, která útočníkovi umožňuje změnit některé údaje v systému. Výsledkem snažení útočníka může být stav, kdy uživatelem požadovaný server nebude tím, kterým měl původně být. Chyba postihuje prakticky všechny operační systémy vyjma Windows Vista.
Aktualizačních balíčky pro DNS klient můžete stáhnout zde:
Aktualizačních balíčky pro DNS server můžete stáhnout zde:
Kompletní Security Bulletin MS08-037 si můžete přečíst ZDE.
MS08-038 – zranitelnost nástroje Průzkumník umožní spuštění kódu
Stupeň důležitosti: důležitá oprava
Postižené produkty: Windows Vista bez SP a SP1, Windows Server 2008
Ačkoliv chyba umožňuje spuštění nebezpečného kódu, označila ji společnost Microsoft pouze důležitým stupněm nebezpečnosti. Znežití této bezpečnostní chyby je totiž velmi nepravděpodobné, nicméně rozhodně ne nemožné. K potenciálnímu zneužití může dojít pouze v operačních systémech Windows Vista a Windows Server 2008 za situace, kdy uživatel spustí útočníkův podvržený soubor, který obdrží například v příloze emailu. Samotná chyba spočívá v bezpečnostním problému vyhledávání ve Windows Vista a Windows Server 2008, které umožňuje vyhledané výsledky uložit v podobě souboru s příponou ".search-ms". Pokud útočník formát tohoto souboru zákeřně upraví, dojde při pokusu o jeho otevření k pádu Průzkumníka a následnému spuštění útočníkova kódu.
Aktualizační balíčky můžete stáhnout zde:
Kompletní Security Bulletin MS08-038 si můžete přečíst ZDE.
MS08-039 – zranitelnost v Outlook Web Access pro Exchange Server
Stupeň důležitosti: důležitá oprava
Postižené produkty: Exchange Server 2003 SP2, Exchange Server 2007 bez SP a SP1
Záplata, vydaná v rámci bulletinu MS08-039, opravuje celkem 2 bezpečnostní zranitelnosti kategorie cross-site scriptingu. Potenciální útočník může získat a zneužít uživatelskou session včetně souvisejících přístupových práv aktivního spojení. První chyba je obsažena v nekorektním ošetření vstupních polí emailu, druhá chyba v neúplně ošetřeném zpracování HTML emailů. Správci Exchange serverů s aktivním přístupem prostřednictvím Outlook Web Access for Exchange Server by tam měli zbystřit a instalovat níže uvedenou záplatu.
Aktualizační balíčky můžete stáhnout zde:
Kompletní Security Bulletin MS08-039 si můžete přečíst ZDE.
MS08-040 – zranitelnost v Microsoft SQL Serveru
Stupeň důležitosti: důležitá oprava
Postižené produkty:MS SQL Server 7.0, MS SQL Server 2000, MS SQL Server 2005, Windows Internal Database, MS SQL 2000 DE (MSDE)
Microsoft v rámci MS08-040 řeší celkem čtyři bezpečnostní zranitelnosti výše uvedených produktů. Záplaty pro konkrétní kombinaci operačního systému a databázového systému MS SQL Server naleznete přímo na stránce Security Bulletinu MS08-040 můžete najít ZDE.
Nová verze Windows Malicious Software Removal Tool
Tradiční součástí každoměsíčních záplat je i čerstvě aktualizovaný nástroj Windows Malicious Software Removal Tool. Nástroj se po stažení automaticky jednorázově spustí, zkontroluje přítomnost známého malware a případně provede jeho odstranění. Hlavní síla nástroje spočívá v plošném nasazení u uživatelů.
Novinkou v diagnostických schopnostech tohoto nástroje je vzorek červa Win32/Horst. Aktualizovanou verzi produktu, která v číslování z minulého 1.43 nečekaně skočila na 2.0, můžete stahovat zde.
Další kolo v srpnu
Uživatelům postižených produktů samozřejmě doporučujeme instalaci opravného balíčku – ať již pomocí ručního stažení záplaty nebo za asistence Windows Update. Pokud máte nastavenu automatickou aktualizaci, záplaty se v případě potřeby samy přihlásí o pozornost nebo přímo automaticky nainstalují.
Další pravidelná porce oprav by měla být zveřejněna v úterý 12. srpna 2008.
