Безопасность
18.11.03 Microsoft Exchange уязвим для спамеровПочтовые серверы Microsoft Exchange могут использоваться для рассылки спама без ведома их администраторов. К такому выводу пришли в компании Think Computer после анализа жалобы одного из клиентов. При этом, по стандартам Microsoft, такие серверы являются безопасными. Не проходят они и тесты для открытых почтовых шлюзов. Это, однако, не меняет ситуации - во многих случаях спам распространяется через серверы на базе Exchange.
По мнению Think Computer, в почтовых серверах Exchange версий 5.5 и 2000 имеется серьезная уязвимость. Она связана с тем, что сервер позволяет использовать гостевую учетную запись для пересылки почты и, более того, автоматически задействует ее, если аутентификация пользователя по каким-то причинам не прошла. При этом становится возможной пересылка почты в обход установленных администратором ограничений.
В Think Computer отмечают, что в Microsoft знают о проблеме. Ее краткое описание имеется в базе данных Microsoft. Для ликвидации уязвимости достаточно отключить гостевую учетную запись. Однако по мнению Think Computer, число серверов Exchange, использующихся спамерами, очень велико, и Microsoft не мешает более серьезно отнестись к проблеме. Впрочем, в Exchange Server 2003 дыра была устранена.
Источник: Компьюлента
14.11.03 Корпорация Microsoft готовит технологию защиты для AMD64 и ItaniumКорпорация Microsoft готовится представить в Windows XP Service Pack 2 новую технологию защиты от вторжений - NX, которая еще больше будет связана с оборудованием компьютера. Эта технология уже поддерживается процессорами семейств AMD K8 и Intel Itanium. NX использует сам ЦП для разделения кода приложения и данных, что предотвращает выполнение программного кода, являющегося червем или вирусом, но выдающего себя за данные. Microsoft считает, что данная технология защиты выполнения приложений будет и дальше реализовываться в 32-битных и 64-битных процессорах, поэтому она готовит к этому свое ПО. Это еще один знак более тесной связи ПО и оборудования, о которой Б. Гейтс много говорил на последней конференции профессиональных разработчиков (PDC), как о новом пути развития компании.
Источник: Журнал “Business Online”
14.11.03 Телефоны со встроенными камерами должны издавать сигналыВстревоженное участившимися случаями использования мобильных телефонов со встроенными фотокамерами для несанкционированного фотографирования людей в компрометирующих ситуациях, правительство Южной Кореи обязало производителей снабдить все аппараты с фотокамерами специальными устройствами, издающими громкий сигнал всякий раз, когда делается снимок.
Явление приобрело в последнее время массовый характер и начало представлять угрозу неприкосновенности частной жизни граждан и общественной нравственности. В одном получившем известность случае женщина использовала телефон со встроенной фотокамерой, чтобы запечатлеть обнаженных женщин в одной из популярных в Сеуле общественных бань. Полученные снимки она продавала одному из тематических веб-сайтов.
"Новые телефоны, оснащенные камерами, должны издавать при фотографировании сигнал громкостью не слабее 65 децибел, и данная функция не должна отключаться даже при использовании аппарата в бесшумном режиме", - говорится в заявлении министерства информации и связи Южной Кореи. Предупреждающий сигнал должен быть четким и ясным, чтобы люди могли заметить, что их фотографируют. В то же время, новое правило не будет иметь обратного действия в отношении уже выпущенных телефонов.
В настоящее время южнокорейский парламент рассматривает другие меры противодействия нарушениям неприкосновенности частной жизни, совершающимся путем несанкционированного использования фотографирующих телефонов и цифровых фотокамер.
За последние годы южнокорейские граждане приобрели более четырех миллионов телефонных аппаратов со встроенными фотокамерами, и сейчас практически везде можно увидеть людей, фотографирующих себя, своих друзей и все, что попадется на глаза. Уже сейчас фотографирующие аппараты составляют четверть от всего южнокорейского парка мобильных телефонов.
Источник: Компьюлента
13.11.03 Важные исправления для Word, Excel и серверных расширений FrontPage11 ноября компания Microsoft, помимо обновлений для браузера Internet Explorer и операционных систем семейства Windows, выпустила несколько заплаток для программ, входящих в систему Microsoft Office: текстового процессора Word, электронной таблицы Excel и серверных расширений HTML-редактора Frontpage.
Дыры в Word и Excel описаны в бюллетене безопасности MS03-050 и имеют статус важных. Дыры присутствуют в версиях Word и Excel 97, 2000 и 2002. Помимо MS Office, текстовый процессор Word 2000 включен в поставку "домашнего" интегрированного пакета Microsoft Works Suite 2001, а Word 2002 входит в состав MS Works Suite 2002, 2003 и 2004, поэтому указанные версии Works Suite также уязвимы для атак. Последние версии Word и Excel, входящие в состав пакета MS Office Suite 2003, уязвимостей, напротив, не содержат.
Дыра, обнаруженная в Excel, связана с недоработкой в методе проверки электронной таблицы перед ее открытием. В результате, злоумышленник может обойти встроенную в Excel проверку файлов на наличие макросов. При открытии такого файла предупреждение о наличии макроса выводиться не будет, и хакер может внедрить в таблицу макрос, выполняющий какие-либо вредные функции вплоть до удаления файлов и форматирования дисков.
Дыра в Word также связана с макросами, но не напрямую. Причиной уязвимости является ошибка при проверке длины названия макроса. Если злоумышленник создаст файл, вызывающий переполнение буфера при такой проверке, он сможет выполнить в системе произвольный код с правами текущего пользователя.
В серверных расширениях FrontPage Microsoft обнаружила сразу две уязвимости. Первая из них является критической и связана с переполнением буфера при использовании функции удаленной отладки веб-страниц. Используя ошибку, злоумышленник может выполнить на атакуемом компьютере произвольный код. Вторая ошибка имеется в интерпретаторе SmartHTML. С ее помощью хакер может провести DoS-атаку, что приведет к отказу серверных расширений FrontPage отвечать на запросы. Дыры актуальны для Microsoft FrontPage Server Extensions 2000, в том числе входящих в состав ОС Windows 2000 и Windows XP, Microsoft FrontPage Server Extensions 2002 из комплекта поставки Office XP и в Microsoft SharePoint Team Services 2002.
Источник: Компьюлента
13.11.03 Ответственность за предрелизное пиратство ужесточитсяСенат США рассмотрит законопроект, предусматривающий ужесточение уголовной ответственности лиц, незаконно копирующих фильмы и музыкальные альбомы и размещающих их в интернете до даты официального выхода. Предложенный сенаторами Джоном Корнином (штат Техас) и Дианой Файнстайн (Калифорния) проект Artists Rights and Theft Prevention (ART) Act (Акт о защите прав художников и предотвращении хищений) призван узаконить уголовное преследование пиратов, размещающих фильмы и музыку в онлайне до официального релиза.
Звукозаписывающие компании и киноиндустрия уже давно бьют тревогу по поводу предрелизного пиратства, наносящего существенный урон их прибыли. Только в этом году такие кассовые фильмы, как "Халк" и "Матрица: Перезагрузка" попали во Всемирную паутину раньше, чем в кинотеатры. Совсем недавно рэперы Jay-Z и G-Unit вынуждены были перенести дату выхода своих альбомов, после того как их пиратские копии попали в интернет.
По данным разработчика антипиратских технологий, компании Macrovision, из-за кинопиратства в интернете студии недополучают до 1 млрд. долларов США в год. Крупнейшие звукозаписывающие компании потеряли порядка 700 миллионов долларов в 2002 году вследствие незаконного онлайнового обмена музыкальными записями.
По ныне действующему в США законодательству преступлением считается лишь пиратское распространение 10 и более копий еще не вышедших официально альбомов и фильмов на сумму свыше 2500 долларов США. Уголовное преследование по старому закону было сильно затруднено тем, что в интернете, где многие пиратские продукты распространяются через пиринговые сети, трудно определить сумму ущерба. Законопроект Корнина-Файнстайн устанавливает наказуемость этих деяний независимо от количества и стоимости распространяемых копий.
Источник: Компьюлента