Poradce pro zabezpečení

Poradce microsoftu pro zabezpečení 953818

Blended Threat from Combined Attack Using Apple's Safari on the Windows Platform

Publikováno: 30. května 2008 | Aktualizováno: 14. dubna 2009

Verze: 2.0

Společnost Microsoft prošetřila veřejné zprávy o smíšené hrozbě, která umožňuje vzdálené spuštění kódu ve všech podporovaných verzích systému Windows XP a Windows Vista, když je nainstalován Prohlížeč Safari společnosti Apple pro Windows. Safari se ve výchozím nastavení nenainstaluje se systémem Windows XP nebo Windows Vista; musí být nainstalován nezávisle nebo prostřednictvím aplikace Apple Software Update. Zákazníci, kteří používají Safari ve Windows, by si měli projít tento poradce.

Vydali jsme bulletin zabezpečení společnosti Microsoft MS09-014, kumulativní aktualizaci zabezpečení pro Aplikaci Internet Explorer (963027) a MS09-015, ohrožení zabezpečení v blended threat v aplikaci SearchPath může umožnit zvýšení oprávnění (959426), aby se tento problém vyřešil. Další informace o tomto problému, včetně odkazů ke stažení aktualizací zabezpečení, naleznete v ms09-014 a MS09-015.

Podpora Apple vydala poradce pro zabezpečení, které řeší ohrožení zabezpečení v Safari 3.1.2 společnosti Apple pro Windows. Další informace najdete v tématu Poradce pro zabezpečení Společnosti Apple o obsahu zabezpečení Safari 3.1.2 pro Windows .

Zmírňující faktory:

• Zákazníci, kteří změnili výchozí umístění, kde Safari stáhne obsah na místní disk, nebudou touto smíšenou hrozbou ovlivněni.

Obecné informace

Přehled

Účel rady: Poskytnutí počátečního oznámení zákazníkům a poskytnutí dalších informací týkajících se dopadu na ovlivněné platformy Windows

Stav poradce: Poradce publikováno.

Doporučení: Zkontrolujte navrhované akce a podle potřeby nakonfigurujte.

Tento poradce popisuje následující software.

Nejčastější dotazy

Jaký je rozsah poradenství?
Tento poradce objasňuje veřejné zprávy o smíšené hrozbě, která by mohla umožnit vzdálené spuštění kódu, což by ovlivnilo všechny podporované edice systému Windows XP a Windows Vista. Úplný seznam ovlivněného softwaru najdete v části Přehled softwaru.

Jedná se o ohrožení zabezpečení, které vyžaduje, aby společnost Microsoft vydala aktualizaci zabezpečení?
Vydali jsme bulletin zabezpečení společnosti Microsoft MS09-014, kumulativní aktualizaci zabezpečení pro Aplikaci Internet Explorer (963027) a MS09-015, ohrožení zabezpečení v blended threat v aplikaci SearchPath může umožnit zvýšení oprávnění (959426), aby se tento problém vyřešil.

Co způsobuje tuto hrozbu?
Kombinace výchozího umístění pro stahování v Safari a způsob, jakým desktopová aplikace Windows zpracovává spustitelné soubory, vytváří smíšenou hrozbu, ve které se soubory můžou stáhnout do počítače uživatele bez výzvy, což umožňuje jejich spuštění. Safari je k dispozici jako samostatná instalace nebo prostřednictvím aplikace Apple Software Update.

Co by mohl útočník použít k této funkci?
Útočník by mohl uživatele oklamat, aby navštívili speciálně vytvořený web, který by mohl stahovat obsah do počítače uživatele a spouštět obsah místně pomocí stejných oprávnění jako přihlášený uživatel.

Navrhované akce

• Nainstalujte aktualizace v bulletinu zabezpečení společnosti Microsoft MS09-014, kumulativní aktualizaci zabezpečení pro Aplikaci Internet Explorer (963027) a MS09-015, ohrožení zabezpečení v blended threat v aplikaci SearchPath by mohlo umožnit zvýšení oprávnění (959426), které platí pro vaše prostředí.
• Pokud používáte Apple Safari ve Windows, ujistěte se, že je verze 3.1.2 nebo vyšší. Nejnovější aktualizace Apple Safari je dostupná na webu Apple Safari Download.
• Projděte si článek znalostní báze Microsoft Knowledge Base, který je přidružený k tomuto poradci.

Alternativní řešení

Microsoft otestoval následující alternativní řešení. I když tato alternativní řešení neopraví základní ohrožení zabezpečení, pomáhají blokovat známé vektory útoku. Pokud alternativní řešení snižuje funkčnost, je popsáno v následující části.

• Změna umístění obsahu v Safari na nově vytvořený adresář
  1. Vytvořte nový adresář, například c:\SafariDownload.
  2. V Safari klikněte na Upravit a přejděte na Předvolby.
  3. V možnosti Uložit stažené soubory do:, vyberte nově vytvořený adresář.

Další informace

Potvrzení:

• Aviv Raff pro práci s námi a hlášení smíšené hrozby Safari a Microsoft Internet Explorer

Zdroje:

• Svůj názor můžete poskytnout vyplněním formuláře tak, že navštívíte nápovědu a podporu Microsoftu: Kontaktujte nás.
• Zákazníci v USA a Kanadě můžou získat technickou podporu ze služeb podpory produktů Společnosti Microsoft. Další informace o dostupných možnostech podpory najdete v nápovědě a podpoře společnosti Microsoft.
• Mezinárodní zákazníci můžou získat podporu od místních poboček Microsoftu. Další informace o tom, jak kontaktovat Microsoft o problémech s mezinárodní podporou, najdete v tématu Mezinárodní podpora.
• Microsoft TechNet Security poskytuje další informace o zabezpečení v produktech Microsoftu.

Právní omezení:

Informace uvedené v tomto poradenství jsou poskytovány "tak, jak jsou" bez záruky jakéhokoli druhu. Společnost Microsoft odmítá všechny záruky, ať už výslovné nebo předpokládané, včetně záruk prodejnosti a vhodnosti pro určitý účel. V žádném případě společnost Microsoft Corporation nebo její dodavatelé nenese odpovědnost za jakékoli škody, včetně přímých, nepřímých, náhodných, následných, ztrát obchodních zisků nebo zvláštních škod, a to i v případě, že společnost Microsoft Corporation nebo její dodavatelé byli upozorněni na možnost těchto škod. Některé státy neumožňují vyloučení nebo omezení odpovědnosti za následné nebo náhodné škody, takže výše uvedené omezení nemusí platit.

Revize:

• V1.0 (30. května 2008): Publikováno poradce.
• V1.1 (6. června 2008): Upravte kroky v alternativním řešení a přidali potvrzení.
• V1.2 (20. června 2008): Poradce aktualizoval, aby poskytoval odkaz na související rady Apple security Advisory.
• V1.3 (2. července 2008): Aktualizace navrhovaných akcí
• V2.0 (14. dubna 2009): Přidání odkazů a odkazů na ms09-014 a MS09-015, které řeší problém v tomto poradci.

Postaveno v 2014-04-18T13:49:36Z-07:00