Usterka w Microsoft DirectX
Odkryto lukę w zabezpieczeniach Microsoft DirectX (wersje 7, 8 i 9 oraz SDK), która pozwala na pomyślne przeprowadzenie ataku typu przepełnienie buforu. Została ona sklasyfikowana przez firmę Secunia jako wysoce krytyczna.
Aby pomyślnie przeprowadzić atak, należy posłużyć się specjalnie przygotowanym obrazem w formacie pliku TGA, by wykorzystać błąd walidacji wejścia podczas przetwarzania RLE skompresowanych plików TGA. Tym samym atakujący ma możliwość wykonania dowolnego kodu.
Zaleca się uaktualnienie Microsoft DirectX do najnowszej wersji.
Redakcja:
Adam Stępień
Opublikowano:
21 lipca 2007, 15:16
Odsłon:
1 985
Kategoria:
DirectX
Komentarze
Ja mam na Viście 10 to nie muszę uaktualniać?
mania,
21 lipca 2007, 17:12
Windows Vista co prawda zawiera biblioteki DX 10, co nie znaczy wcale, że nie zawiera też DX 9, by móc obsłużyć aplikacje multimedialne pod tą technologią. Na razie nie stwierdzono, by DX 10 posiadał tę usterkę.
Adam Stępień,
21 lipca 2007, 17:29
Te strowniki mam już ściągnięte. Było mi potrzebne SDK DX i przy okazji to ściągnąłem.
fish,
21 lipca 2007, 22:29
Moim zdaniem Microsoft powinien rozwiać wątpliwości użytkowników dotyczące platformy DirectX 10. W końcu nie wiadomo już czy została ona napisana od podstaw - co pozwoliłoby na ominięcie usterek wersji 9 (ale jednocześnie pojawienie się nowych) czy też oparta na kodzie wersji wcześniejszej. A może to tylko ja jestem niedoinformowany w tej kwestii? Zauważcie, że luka ta znajduje się w wersjach od 7-9. Czyli policzmy - przez ile lat użytkownicy narażeni byli na atak?... Pocieszający jest jednak fakt, że w dużej ilości wypadku konieczne jest doinstalowanie bibliotek DirectX 9 w systemie Windows Vista, więc myślę że jest szansa na spokojny sen jego użytkowników (w tym również mój). Pozdrawiam.
Krzysztof Gudowski,
23 lipca 2007, 11:20
@Krzysztof Gudowski: Biblioteki DX10 w Vista stanowią osobne API w towarzystwie DX9, które także tutaj odnajdziemy. Zostały napisane od nowa, co jednakże nie znaczy, iż są wolne od jakichkolwiek błędów ;-)
Anathema,
23 lipca 2007, 19:45
Dzięki Dawid za wyjaśnienie moich wątpliwości ;)
Krzysztof Gudowski,
23 lipca 2007, 23:11
Nie ma sprawy Krzysiu ;-)
Anathema,
24 lipca 2007, 13:02