Февральский Microsoft Security Bulletin

[Shu_b]

Microsoft Security Bulletin Summary for February 2009
Published: February 10, 2009
http://www.microsoft.com/technet/sec.../ms09-feb.mspx

Microsoft Security Bulletin MS09-002 - MS09-005

Microsoft Windows, Internet Explorer 7: MS09-002
Microsoft Exchange Server: MS09-003
Microsoft SQL Server: MS09-004
Microsoft Office Visio: MS09-005


Примечание: Для загрузки патчей используйте ссылку на статью бюллетеня, из которой выбирайте ссылку на загрузку применительно к вашей ОС или компоненту.

[Shu_b]

Microsoft Security Bulletin MS09-002
Cumulative Security Update for Internet Explorer (961260)
http://www.microsoft.com/technet/sec.../MS09-002.mspx
Множественные уязвимости в Microsoft Internet Explorer
http://www.securitylab.ru/vulnerability/368063.php

Rating: Critical

Описание:
Обнаруженные уязвимости позволяют удаленному пользователю скомпрометировать целевую систему.

1. Уязвимость существует из-за ошибки во время доступа приложения к удаленному объекту. Удаленный пользователь может с помощью специально сформированного Web сайта вызвать повреждение памяти и выполнить произвольный код на целевой системе.

2. Уязвимость существует из-за ошибки при обработке таблиц каскадных стилей (CSS). Удаленный пользователь может с помощью специально сформированного Web сайта вызвать повреждение памяти и выполнить произвольный код на целевой системе.

Affected Software:
• Windows Internet Explorer 7

• Microsoft Windows XP Service Pack 2
• Microsoft Windows XP Service Pack 3
• Microsoft Windows XP Professional x64 Edition and Microsoft Windows XP Professional x64 Edition Service Pack 2
• Microsoft Windows Server 2003 Service Pack 1 and Microsoft Windows Server 2003 Service Pack 2
• Microsoft Windows Server 2003 with SP1 for Itanium-based Systems and Microsoft Windows Server 2003 with SP2 for Itanium-based Systems
• Microsoft Windows Server 2003 x64 Edition Service Pack 1 and Microsoft Windows Server 2003 x64 Edition Service Pack 2
• Windows Vista Service Pack 1
• Windows Vista x64 Edition Service Pack 1
• Windows Server 2008 for 32-bit Systems *
• Windows Server 2008 for x64-based Systems *
• Windows Server 2008 for Itanium-based Systems

*Windows Server 2008 server core installation not affected

Non-Affected Software:
• Microsoft Internet Explorer 5.01 Service Pack 4, Microsoft Internet Explorer 6 Service Pack 1

• Microsoft Windows 2000 Service Pack 4

• Microsoft Internet Explorer 6

• Microsoft Windows XP Service Pack 2
• Microsoft Windows XP Service Pack 3
• Microsoft Windows XP Professional x64 Edition and Microsoft Windows XP Professional x64 Edition Service Pack 2
• Microsoft Windows Server 2003 Service Pack 1 and Microsoft Windows Server 2003 Service Pack 2
• Microsoft Windows Server 2003 with SP1 for Itanium-based Systems and Microsoft Windows Server 2003 with SP2 for Itanium-based Systems
• Microsoft Windows Server 2003 x64 Edition Service Pack 1 and Microsoft Windows Server 2003 x64 Edition Service Pack 2

[Shu_b]

Microsoft Security Bulletin MS09-003
Vulnerabilities in Microsoft Exchange Could Allow Remote Code Execution (959239)
http://www.microsoft.com/technet/sec.../MS09-003.mspx
Множественные уязвимости в Microsoft Exchange
http://www.securitylab.ru/vulnerability/368059.php

Rating: Critical

Описание:
Обнаруженные уязвимости позволяют удаленному пользователю вызвать отказ в обслуживании и скомпрометировать целевую систему.

1. Уязвимость существует из-за ошибки проверки границ данных при декодировании Transport Neutral Encapsulation Format (TNEF) данных для сообщения. Удаленный пользователь может с помощью специально сформированного email сообщения в формате TNEF вызвать повреждение памяти и выполнить произвольный код на целевой системе с привилегиями службы Exchange Server.

2. Уязвимость существует из-за ошибки при обработке MAPI команд в EMSMDB2 (Electronic Messaging System Microsoft Data Base, 32 bit build) провайдере. Удаленный пользователь может с помощью специально сформированной MAPI команды аварийно завершить работу Microsoft Exchange сервера.

Affected Software:
• Microsoft Exchange 2000 Server Service Pack 3 with the Update Rollup of August 2004
• Microsoft Exchange Server 2003 Service Pack 2
• Microsoft Exchange Server 2007 Service Pack 1 (32&64-bit)

[Shu_b]

Microsoft Security Bulletin MS09-004
Vulnerability in Microsoft SQL Server Could Allow Remote Code Execution (959420)
http://www.microsoft.com/technet/sec.../ms09-004.mspx
Переполнение буфера в Microsoft SQL Server
http://www.securitylab.ru/vulnerability/364471.php

Rating: Important

Описание:
Уязвимость позволяет удаленному пользователю повысить свои привилегии на системе.

Уязвимость существует из-за ошибки проверки границ данных в реализации процедуры "sp_replwritetovarbin()". Удаленный пользователь может передать уязвимой процедуре специально сформированные аргументы, вызвать переполнение динамической памяти и повысить свои привилегии на системе.

Affected Software:
• SQL Server (GDR)&(QFE)

• SQL Server 7.0 SP4
• SQL Server 2000 SP4
• SQL Server 2000 Itanium-based Edition SP4
• SQL Server 2005 SP2
• SQL Server 2005 x64 Edition SP2
• SQL Server 2005 with SP2 for Itanium-based Systems
• Microsoft Data Engine (MSDE) 1.0 SP4
• Microsoft SQL Server 2005 Express Edition SP2
• Microsoft SQL Server 2005 Express Edition with Advanced Services SP2

• Windows Components (Windows Server 2003, Windows Server 2008)

• Windows Server 2003 SP1/SP2 and Microsoft SQL Server 2000 Desktop Engine (WMSDE)
• Windows Server 2003 SP1/SP2 and Windows Internal Database (WYukon) SP2
• Windows Server 2003 x64 Edition (optionally with SP2) and SQL Server 2000 Desktop Engine (WMSDE)
• Windows Server 2003 x64 Edition (optionally with SP2) and Windows Internal Database (WYukon) x64 Edition SP2
• Windows Server 2008 for 32-bit Systems and Windows Internal Database (WYukon) SP2
• Windows Server 2008 for x64-based Systems and Windows Internal Database (WYukon) x64 Edition SP2

Non-Affected Software:
• SQL Server 7.0 Service Pack 4
• Microsoft Data Engine (MSDE) 1.0 Service Pack 4
• SQL Server 2005 Service Pack 3
• Application Center 2000 Service Pack 2

• Microsoft SQL Server 2000 Desktop Engine (MSDE 2000) Service Pack 3a

• SQL Server 2005 x64 Edition Service Pack 3
• SQL Server 2005 with SP3 for Itanium-based Systems
• SQL Server 2008 (32-bit editions)
• SQL Server 2008 (x64-based editions)
• SQL Server 2008 (Itanium-based editions)

[Shu_b]

Microsoft Security Bulletin MS09-005
Vulnerabilities in Microsoft Office Visio Could Allow Remote Code Execution (957634)
http://www.microsoft.com/technet/sec.../MS09-005.mspx
Множественные уязвимости в Microsoft Office Visio
http://www.securitylab.ru/vulnerability/368062.php

Rating: Important

Описание:
Обнаруженные уязвимости позволяют удаленному пользователю скомпрометировать целевую систему.

1. Уязвимость существует из-за ошибки при обработке объектов данных во время открытия файлов Visio. Удаленный пользователь может с помощью специально сформированного Visio файла вызвать повреждение памяти и выполнить произвольный код на целевой системе.

2. Уязвимость существует из-за ошибки во время копирования объекта данных в память. Удаленный пользователь может с помощью специально сформированного Visio файла вызвать повреждение памяти и выполнить произвольный код на целевой системе.

3. Уязвимость существует из-за ошибки при работе с памятью во время открытия файлов Visio. Удаленный пользователь может с помощью специально сформированного Visio файла вызвать повреждение памяти и выполнить произвольный код на целевой системе.

Affected Software:
• Microsoft Office Visio 2002 Service Pack 2
• Microsoft Office Visio 2003 Service Pack 3
• Microsoft Office Visio 2007 Service Pack 1

Non-Affected Software:
• Microsoft Office Visio 2002 Viewer
• Microsoft Office Visio 2003 Viewer
• Microsoft Office Visio Viewer 2007 and Microsoft Office Visio Viewer 2007 Service Pack 1