http://www.bugtraq.ru/review/archive/2003/11-11-03.html

Федорино Core; Использование двойного слеша для обхода зон безопасности IE; Критическая ошибка в Office 2003; Microsoft опять прозевала один из своих доменов; Очередной Top-10 юниксовых дырок.

#150, 11.11.2003

Федорино Core
dl // 11.11.03 13:21
RedHat представила первую версию свободного Linux-дистрибутива Fedora Core 1. В отличие от коммерческого дистрибутива RedHat, Fedora построена исключительно на бесплатном программном обеспечении, разработана при поддержке Red Hat и сообщества разработчиков систем с открытым исходным кодом. Обещается обновление 2-3 раза в год.
Источник: Fedora Project

Использование двойного слеша для обхода зон безопасности IE
dl // 09.11.03 20:19
Использование двойного слеша в URL вида [SysDrive]:\\Documents and Settings\[user_name]\Local Settings\Temporary Internet Files\Content.IE5, ссылающихся на файлы из локального кэша, приведет к тому, что данный файл будет загружен в контексте локальной системы - и, следовательно, даст выполнить на машине клиента произвольный код. Демонстрация доступна, патч - нет.
Источник: Securityfocus

Критическая ошибка в Office 2003
dl // 07.11.03 17:53
Обнаружилась проблема, возникающая после открытия в старых офисных программах документов, созданных программами из комплекта Office 2003. Старые версии в некоторых ситуациях умудряются так сохранить документ, что он перестает нормально открываться в новых версиях.

Кстати, обнаружилась еще одна интересная особенность нового офиса. Орфо 2002 состыковался с Office 2003 не полностью, но, по крайней мере, спелл-чекер и грамматика работали. Заодно он работал и в Бате, умеющем подхватывать офисный спелл-чекер, работающий через CSAPI. Вышедший же в конце октября "родной" комплект Office Proofing Tools, как и положено, встал в офис целиком и полностью, но вот Бат его подхватывать отказался. Не исключено, что к старому CSAPI теперь добавился еще один интерфейс для подключения спелл-чекеров, хотя и не совсем понятно, зачем.
Источник: Microsoft Knowledge Base

Microsoft опять прозевала один из своих доменов
dl // 06.11.03 16:48
На этот раз кто-то в компании банально забыл продлить домен hotmail.co.uk. Что забавно, в течение нескольких дней компания не реагировала на сообщения доброй души человека, зарегистрировавшего домен на себя и предлагавшего передать его обратно. В 99-м году аналогичная история произвошла с доменом passport.com, что на некоторое время парализовало работу Hotmail. Тогда домен был оплачен программистом Майклом Чейни, который передал его Microsoft, получив в качестве благодарности чек на 500$ (проданный позднее на благотворительно аукционе) и копию Visual Studio 6.0.
Источник: The Register, Michael Chaney's Web Page

Очередной Top-10 юниксовых дырок
dl // 05.11.03 10:59
SANS и ФБР обновили свой список наиболее часто используемых уязвимостей:

1. BIND
2. RPC
3. Apache
4. Аккаунты без паролей или со слабыми паролями
5. Службы, передающие информацию открытым текстом (FTP, SMTP и т.п.)
6. Sendmail
7. SNMP
8. SSH
9. Ошибки в конфигурации NIS/NFS
10. SSL
Источник: ZDNet