Atak zza grobu: pliki Word Perfect niebezpieczne

Przedwczesne były przekonania tych, którzy twierdzili, że pakiet biurowy Word Perfect nie odegra już żadnej roli. Jak gdyby zza grobu dawny konkurent MS Office'a, który obecnie wiedzie dość marny żywot jako dodatek do Corela, zdołał jeszcze narobić zamieszania: biblioteka do analizy i wyświetlania plików Word Perfecta zawiera krytyczną lukę, którą można wykorzystać do przemycenia i wykonania kodu.

Problem
Przyczyną problemu jest możliwość wystąpienia błędu przepełnienia bufora w bibliotece z pakietu SDK Autonomy KeyView. Warto zaznaczyć, że używa jej wiele produktów, wśród nich między innymi Lotus Notes, a także różne skanery antywirusowe Symanteca. Pikanterii sprawie dodaje fakt, że wśród rozwiązań stosujących tę bibliotekę są też różne produkty, które mają zapobiegać utracie danych (Data Loss Prevention). Za pomocą specjalnych e-maili ze spreparowanymi plikami w załącznikach napastnicy mogą sprowokować błąd i przemycić do systemu na przykład oprogramowanie szpiegujące.

W pakiecie Notes użytkownik musi sam otworzyć zmanipulowany plik, systemy zabezpieczeń poczty firmy Symantec robią to samodzielnie. Co ciekawe, według zapewnień producenta narzędzia Symantec Mail Security for SMTP ryzyko jest mniejsze, ponieważ moduł skanowania w tym programie działa na niższych prawach. Wszystko wskazuje na to, że w analogicznych produktach przeznaczonych dla pakietów Exchange i Domino tego rodzaju środki bezpieczeństwa nie zostały zastosowane.

Patrząc z dalszej perspektywy, to już nie pierwszy raz, kiedy biblioteki Autonomy KeyView powodują problemy z zabezpieczeniami. Przed rokiem firma Secunia wykryła jednocześnie wiele luk, które także dotyczyły oprogramowania Symantec Mail Security i Lotus Notes. iDefense poinformowało producenta o tym problemie jeszcze w 200. roku; ten tymczasem przygotował aktualizacje i patche.

Rozwiązanie
Producenci przygotowali już poprawki i łaty, które eliminują problem.

W pakiecie Lotus Notes można wyłączyć przetwarzanie plików WPD, usuwając lub zmieniając w komentarz linię z pliku konfiguracyjnego KeyView.ini odnoszącą się do biblioteki wp6sr.dll.

W przypadku produktu Symantec Mail Security ochronę przed atakami zapewni wyłączenie opcji filtrowania zawartości (content filtering).

wydanie internetowe www.heise-online.pl