Chyba v Outlooku umožňovala kontrolu nad OS, s opravou neotálejte

Chyba v Outlooku umožňovala kontrolu nad OS, s opravou neotálejte

V rámci velkého úterního balíku oprav, který Microsoft rozeslal uživatelům MS Office, byla opravena i velmi závažná chyba, která umožňovala útočníkům spouštět velmi nebezpečné přílohy mailů. Ty mohly vést i k plnému přístupu k operačnímu systému. Na chybu upozornil bezpečnostní expert Haifei Li (PDF). Pokud používáte balík Office 2007 s SP3 nebo novější, s dostupnou aktualizací byste rozhodně neměli otálet.

Aplikace balíku Office používají pro vkládání objektů do dokumentů nebo těla emailů tzv. Object Linking and Embedding (OLE) a pro správu příloh využívá Outlook formát TNEF (Transport Neutral Encapsulation Format). Ty jsou rozeznatelné především díky tradičnímu názvu winmail.dat, případně win.dat. Nové verze Outlooku zároveň umí přílohy emailů zobrazovat společně s textem v náhledovém okně. Pro většinu formátů používá samostatný sandbox tak, aby se případný škodlivý obsah nedostal k systémový souborům.

Při určitém nastavení přílohy winmail.dat však Outlook pro náhled nevyužíval sandboxovaný prostor a vložené objekty pomocí OLE tak mohly ohrozit systém. Pokud se útočník rozhodl, že využije například jednu z mnoha děr ve Flashi, mohl získat plný přístup k systému. Na videu demonstroval Haifei Li chyby jednoduchým spuštěním Kalkulačky. Email přitom nemusel být otevřen tradiční cestou, stačilo zobrazení v náhledovém okně.

Microsoft na webu radí, jak postupovat v případě, že k aktualizaci nemáte přístup. Doporučuje v Outlooku zcela deaktivovat okno s náhledem a v konfiguraci natavit zobrazování emailů v holém textu.

Diskuze (5) Další článek: VLC zamířilo na Chrome OS, poslední chybějící platformu

Témata článku: Microsoft, Bezpečnost, Microsoft Office, Systémový soubor, OS X, Závažná chyba, Plný přístup, Oprava, Sandbox, Nebezpečná příloha, Škodlivý obsah, Transport, Chyba

Určitě si přečtěte


Aktuální číslo časopisu Computer

Jak vznikají filmové efekty

Test ATX skříní a externích disků

Znáte svá práva při reklamaci?

Průvodce první instalací NASu