Chyba v Outlooku umožňovala kontrolu nad OS, s opravou neotálejte

Chyba v Outlooku umožňovala kontrolu nad OS, s opravou neotálejte

V rámci velkého úterního balíku oprav, který Microsoft rozeslal uživatelům MS Office, byla opravena i velmi závažná chyba, která umožňovala útočníkům spouštět velmi nebezpečné přílohy mailů. Ty mohly vést i k plnému přístupu k operačnímu systému. Na chybu upozornil bezpečnostní expert Haifei Li (PDF). Pokud používáte balík Office 2007 s SP3 nebo novější, s dostupnou aktualizací byste rozhodně neměli otálet.

Aplikace balíku Office používají pro vkládání objektů do dokumentů nebo těla emailů tzv. Object Linking and Embedding (OLE) a pro správu příloh využívá Outlook formát TNEF (Transport Neutral Encapsulation Format). Ty jsou rozeznatelné především díky tradičnímu názvu winmail.dat, případně win.dat. Nové verze Outlooku zároveň umí přílohy emailů zobrazovat společně s textem v náhledovém okně. Pro většinu formátů používá samostatný sandbox tak, aby se případný škodlivý obsah nedostal k systémový souborům.

Při určitém nastavení přílohy winmail.dat však Outlook pro náhled nevyužíval sandboxovaný prostor a vložené objekty pomocí OLE tak mohly ohrozit systém. Pokud se útočník rozhodl, že využije například jednu z mnoha děr ve Flashi, mohl získat plný přístup k systému. Na videu demonstroval Haifei Li chyby jednoduchým spuštěním Kalkulačky. Email přitom nemusel být otevřen tradiční cestou, stačilo zobrazení v náhledovém okně.

Microsoft na webu radí, jak postupovat v případě, že k aktualizaci nemáte přístup. Doporučuje v Outlooku zcela deaktivovat okno s náhledem a v konfiguraci natavit zobrazování emailů v holém textu.

Témata článku: Microsoft, Bezpečnost, Microsoft Office, Závažná chyba, Transport, Sandbox, Systémový soubor, Plný přístup, Nebezpečná příloha, Chyba, OS X, Oprava, Škodlivý obsah

Určitě si přečtěte


Aktuální číslo časopisu Computer

26 procesorů v důkladném testu

Zhodnotili jsme 18 bezdrátových reproduktorů

Jak fungují cash back služby?

Pohlídejte své děti na internetu