Microsoft sendte natt til i dag ut tre nye sikkerhetsbulletiner. En om en potensiell sikkerhetsrisiko i forbindelse med SQL-servere ( Microsoft Security Bulletin MS02-061), om et allerede kjent smutthull i tilknytning til hjelpe-funksjonen i Windows XP ( Microsoft Security Bulletin MS02-060) og endelig en om riskoen knyttet til felt-oppdtaring i Excel når data importeres fra Word ( Microsoft Security Bulletin MS02-059).
Flinke gutter
Man kan si hva man vil om sikkerheten i Microsofts produkter (og mange gjør det). Men sikkert er det at selskapet har blitt flinkere til å avdekke og opplyse om potensielle farer ved både operativsystemer og annen programvare.
Word/Excel-feilen gjelder de fleste av kundene deres, hvilket vil si mesteparten av verdens PC-brukere.
Et element (for eksempel en signatur eller firmalogo) fra et Word-dokument kan settes inn i et Excel-dokument – eller omvendt (eller for den saks skyld Word-Word og Excel-Excel). Når data i dette elementet oppdateres i det første dokumentet, skjer samme oppdateringen i det andre dokumentet.
Annonse
Kan snoke i oppdatreringer
Funksjonen bruker såkalte feltkoder – skilletegnene mellom celler i et regneark, databasedokument eller tekstdokumentmal. Oppdateringene kan skje på en enkelt PC lokalt, via et lokalt nettverk eller via Internett.
En potensiell inntrenger kan lage et tilsvarende dokument på sin maskin som får med seg oppdateringene på en eller flere maskiner som oppdaterer seg i mellom. Dette forutsetter at inntrengeren klarer følgende:
- 1) Oppretter et Word- eller Excel-dokument som kan utnytte svakheten2) Leverer det til offeret, via e-post eller på annen måte3) Lurer offeret til å åpne dokumentet4) Få dokumentet returnert til seg selv
Det siste er strengt tatt ikke nødvendig. Inntrengeren kan lage en funksjon som sender dokumentet til en nettside, men da vil bare første linje bli sendt.
Moderat risiko
Siden utnyttelse av hullet forutsetter at inntrengeren på forhånd vet hvor den aktuelle filen ligger og hva den heter, regner Microsoft faren for angrep på denne måten er moderat til minimal.
De vil bare at kundene skal vite om det….
Annonse
