В Borland InterBase обнаружен черный ход
Borland InterBase backdoor detected
Стивен Шенкланд (Stephen Shankland)
11 января 2001 г.
В Borland InterBase есть гчерный ходё, позволяющий любому, кто знает скрытый в коде программы пароль, внести хаос в базу данных и компьютер, на котором она установлена.
Об этом предупредила на прошлой неделе организация Computer Emergency Response Team (CERT). Имя пользователя и пароль + соответственно politically и correct + легко обнаружить и невозможно удалить путем изменения настроек. гЭто очень серьезно, + комментирует ситуацию аналитик SecurityFocus.com Бен Гринбаум (Ben Greenbaum). + У любого, кто работает на этих серверах и не посещает посвященные безопасности ресурсы, двери для внешних атак широко раскрытыё.
Borland признала наличие черного хода и приступила к распространению патчей. По словам директора проекта InterBase Джона Артура (Jon Arthur), она предупредила заказчиков и партнеров по продажам и в ближайшие дни выпустит исправленную версию продукта. Проблема проявляется в версиях InterBase 4, 5 и 6. Артур подтвердил, что база данных InterBase, поддерживающая платформы Windows, Linux и разные версии Unix, используется компаниями Motorola, Nokia, Boeing и Бостонской фондовой биржей. Принадлежащая Sun Microsystems компания Cobalt Networks устанавливает InterBase на свои специализированные серверы.
Подобные лазейки становятся серьезной проблемой. По словам аналитика Криса Роуланда (Chris Rouland), компания Internet Security Systems за последние месяцы обнаружила четыре таких опасных пробела в защите.
Черный ход введен в продукт Borland в 1994 году без злого умысла + он позволял одной части базы данных взаимодействовать с другой, защищенной паролем. В июле прошлого года Borland выпустила InterBase в качестве ПО с открытым исходным кодом, что открыло доступ к текстам программы широкому кругу разработчиков. В настоящее время существует два проекта по модификации и редистрибуции этого ПО: InterBase и Firebird. CERT утверждает, что обнаруженный черный ход есть в обоих вариантах ПО с открытым исходным кодом. Лазейку обнаружил 18 декабря один из участников проекта Firebird. В считанные часы администраторы Firebird во всем мире обменялись паническими сообщениями. Проект выпуска очередной версии Firebird был приостановлен, и разработчики в срочном порядке занялись устранением пробела в защите.
Выявленная проблема иллюстрирует двоякую + с точки зрения защиты + природу ПО с открытым исходным кодом. С одной стороны, большое число участников проекта позволяет программистам лучше изучить ПО и выявить подобные проблемы, но, с другой + злоумышленникам легче искать лазейки в защите. Еще одно преимущество ПО с открытым исходным кодом заключается в том, что достаточно подготовленные пользователи могут сами устранить ошибку. Но это тоже дает основания для беспокойства. Borland предупреждает, что внесение поправок, исходящих не от самой компании, ведет к отказу от гарантийных обязательств.
Что-то у меня не получило... -- Igor
 |