当前位置: 安全纵横 > 安全公告

一周业界安全动态(3月31日-4月6日)

来源:安恒信息 日期:2008-04

Microsoft IE 7弹出窗口地址栏URI欺骗漏洞
Internet Explorer是微软发布的非常流行的WEB浏览器。如果用户用IE访问了恶意网页的话,则弹出窗口的地址栏可能为任意地址而窗口主题中为任意页面或内容。这有助于攻击者执行网络钓鱼攻击。
目前厂商还没有提供补丁或者升级程序:
http://www.microsoft.com/windows/ie/default.asp

 

Macrovision InstallShield InstallScript OCI控件不可信任库代码执行漏洞
MacroVision InstallShield是很多软件厂商都在使用的安装程序解决方案。InstallShield所安装的InstallScript One-Click Install ActiveX控件加载了不可信任的函数库,可能允许远程攻击者以当前登录用户的权限执行任意命令。
目前厂商已经发布了升级补丁以修复这个安全问题:
http://saturn.installshield.com/is/12/windows/domestic/sp2/OCIHotFix/Update.exe

 

Linux Audit守护程序audit_log_user_command()本地栈溢出漏洞
Linux Audit是用于查看Linux系统审计日志的图形工具。Linux Audit的lib/audit_logging.c文件中的audit_log_user_command()函数存在栈溢出漏洞,如果本地用户向该函数传送了超长的command参数的话,就可以触发这个溢出,导致以使用libaudit应用的权限执行任意指令。
目前厂商已经发布了升级补丁以修复这个安全问题:
http://people.redhat.com/sgrubb/audit/audit-1.7-1.src.rpm

 

XnView幻灯片FontName参数栈溢出漏洞
XnView是一款浏览的图片查看器,支持多种图形格式。XnView在处理幻灯片文件(*.sld)的FontName参数时存在栈溢出漏洞,如果用户受骗打开了带有超长参数的幻灯片文件的话,就可以触发这个溢出,导致执行任意指令。
目前厂商已经发布了升级补丁以修复这个安全问题:
http://pagesperso-orange.fr/pierre.g/xnview/endownload.html

 

CUPS gif_read_lzw()函数GIF文件处理缓冲区溢出漏洞
Common Unix Printing System (CUPS)是一款通用Unix打印系统,是Unix环境下的跨平台打印解决方案,基于Internet打印协议,提供大多数PostScript和raster打印机服务。CUPS处理畸形格式的GIF文件时存在漏洞,远程攻击者可能利用此漏洞控制服务器。
http://www.cups.org/str.php?L2765

 

Chilkat HTTP ChilkatHttp.dll ActiveX控件不安全调用漏洞
Chilkat HTTP是用于与服务器通讯的HTTP客户端组件。Chilkat HTTP组件的ActiveX控件实现上存在漏洞,远程攻击者可能利用此漏洞非授权访问系统上的文件。
目前厂商还没有提供补丁或者升级程序:http://www.chilkatsoft.com/

 

WordPress wp-download插件dl_id参数SQL注入漏洞
WordPress是一款免费的论坛Blog系统。WordPress的WP-Download插件实现上存在输入漏洞,远程攻击者可能利用此漏洞获取登录相关的敏感信息。
目前厂商已经发布了升级补丁以修复这个安全问题:
http://www.arno-box.net/wordpress/12/wordpress-plugin-wp-download/

 

LANDesk管理套件TFTP服务目录遍历漏洞
Landesk管理套件是一款网络管理系统,可控制桌面,服务器和移动设备等。LANDesk管理套件的PXE TFTP服务(PXEMTFTP.exe)存在目录遍历漏洞,如果远程攻击者向该服务提交了恶意请求的话,就可以从受影响系统下载任意文件。
目前厂商已经发布了升级补丁以修复这个安全问题:
http://community.landesk.com/support/servlet/JiveServlet/download/2659-1-1780/OSD-737487.5.zip;jsessionid=FA7B61869E70288589AEFFF196E561FB