Viestintäviraston CERT-FI -tietoturvallisuusyksikkö varoittaa edelleen Microsoft RPC (Remote Procedure Call)-rajapinnasta viimeaikoina löydetyistä useista vakavista tietoturva-aukoista. Tätä haavoittuvuutta käytti hyväkseen mm. Lovsan-haittaohjelma eri versioineen. CERT-FI:n mukaan on erityisen tärkeää, että myös kotitietojärjestelmät päivitetään.
Viimeisimmät Microsoft RPC -rajapinnasta löytyneet haavoittuvuudet ovat luonteeltaan sellaisia, että niiden laajamittaista hyödyntämistä voidaan pitää todennäköisenä. Haavoittuvuuksia voidaan myös mahdollisesti hyväksikäyttää uuden haittaohjelman avulla.
RPC (Remote Procedure Call) on protokolla, jonka avulla tietojärjestelmä voi verkon välityksellä esimerkiksi kutsua toisen tietojärjestelmän ohjelmia.
CERT-FI:n mukaan on erityisen tärkeää, että kaikki haavoittuvat tietojärjestelmät päivitetään korjaustiedostolla ja saatetaan näin turvalliseen tilaan. Haavoittuvien tietojärjestelmien päivittäminen on erityisen tärkeää myös kotitietojärjestelmien kohdalla.
Microsoft Windows -käyttöjärjestelmistä on esimerkiksi löydetty kolme uutta haavoittuvuutta, jotka liittyvät DCOM (Distributed Component Object Model) -toiminnon aktivointiin käytettyjen RPC-viestien käsittelyyn.
Kaksi haavoittuvuuksista on puskuriylivuotohaavoittuvuuksia, joiden hyväksikäyttö mahdollistaa hyökkääjän omien komentojen suorittamisen kohdetietojärjestelmässä. Kolmatta haavoittuvuutta hyväksikäyttämällä hyökkääjän on mahdollistaa kohdistaa kohdetietojärjestelmään palvelunestohyökkäys.
Haavoittuvuuksien hyväksikäyttö on mahdollista lähettämällä tietyllä tavalla muokattuja viestejä kohdejärjestelmän RPC-protokollan toteuttavalle RPCSS-palvelulle.
Haavoittuvuudelle alttiit järjestelmät:
- Microsoft Windows NT 4.0
- Microsoft Windows 2000
- Microsoft Windows XP
- Microsoft Windows 2003
Ratkaisut:
Päivitä haavoittuva tietojärjestelmä korjaustiedostolla seuraavan ohjeen
mukaisesti:
1. Varmistu käytössä olevan Windows-käyttöjärjestelmän ohjelmistoversio
seuraavasti:
Valitse Käynnistä (Start)-valikosta Suorita (Run)-komento
Kirjoita avautuvan ikkunan komentoriville winver ja paina Kyllä (OK)-painiketta
2. Lataa korjaustiedosto seuraavasti:
Jos käyttöjärjestelmäversio on suomenkielinen Windows 2000, lataa korjaustiedosto seuraavasta osoitteesta: Linkki 1
http://download.microsoft.com/download/8/6/8/868e6dc5-c89c-486a-bcd5-09b18f75146e/Windows2000-KB824146-x86-FIN.exe
Jos käyttöjärjestelmäversio on englanninkielinen Windows 2000, lataa korjaustiedosto seuraavasta osoitteesta:
http://download.microsoft.com/download/0/a/6/0a634e35-f29a-4f26-b006-d315e898edef/Windows2000-KB824146-x86-ENU.exe
Jos käyttöjärjestelmäversio on suomenkielinen Windows XP, lataa korjaustiedosto seuraavasta osoitteesta:
http://download.microsoft.com/download/0/5/e/05e8378e-2cb5-4f06-8e3b-26a3ae1d4a25/WindowsXP-KB824146-x86-FIN.exe
Jos käyttöjärjestelmäversio on englanninkielinen Windows XP, lataa
korjaustiedosto seuraavasta osoitteesta:
http://download.microsoft.com/download/c/d/d/cdd7ac92-e4cc-4b1e-bc2f-7a61b46b23bf/WindowsXP-KB824146-x86-ENU.exe
Jos käytössä oleva käyttöjärjestelmä on suomenkielinen Windows NT (workstation), lataa korjaustiedosto seuraavasta osoitteesta:
http://download.microsoft.com/download/f/7/f/f7f3ca67-06e2-40b9-a7fd-4d8e1fefbf6d/WindowsNT4Workstation-KB824146-x86-fin.exe
Jos käytössä oleva käyttöjärjestelmä on englanninkielinen Windows NT (workstation), lataa korjaustiedosto seuraavasta osoitteesta:
http://download.microsoft.com/download/3/0/c/30cff3cd-414d-4754-b9db-276de8161eef/WindowsNT4Workstation-KB824146-x86-ENU.EXE
Muista käytössä olevista käyttöjärjestelmäversioista ja niihin liittyvistä korjaustiedostoista saa lisätietoa osoitteesta: http://www.microsoft.com/technet/security/bulletin/MS03-039.asp
3. Valitse Avaa (Open) ja etene korjaustiedoston asennusohjeiden mukaisesti.
Haavoittuvuuden hyväksikäyttöä voidaan rajoittaa estämällä liikennöinti TCP- ja UDP-portteihin 135, 139 ja 445 sekä TCP-porttiin 593.
Mikäli tietojärjestelmän päivittäminen ei ole mahdollista, voidaan haavoittuvuuksien hyväksikäyttö estää poistamalla käytöstä DCOM-toiminto.
Lisätietoja:
http://www.microsoft.com/technet/security/bulletin/MS03-039.asp
http://www.microsoft.com/finland/pr/2003/9-03/windows.asp
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-58.htm
Aiemmin julkaistuja CERT-FI-tiedotteita RPC-ongelmasta:
CERT-FI julkaisi edellisen kerran varoituksen RPC-rajapintaan liittyvistä haavoittuvuuksista 17.7.2003 (http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-48.htm).
CERT-FI julkaisi varoituksen Lovsan-haittaohjelmasta 12.8.2003 (http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-52.htm).
Microsoft RPC-rajapinnasta on löydetty tämän jälkeen uusia vakavia haavoittuvuuksia, joista CERT-FI on julkaissut varoituksen 10.9.2003: http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-58.htm