Viestintäviraston CERT-FI -tietoturvallisuusyksikön varoituksen mukaan Internet Explorer-selainohjelmasta on löytynyt kaksi vakavaa haavoittuvuutta, joiden avulla hyökkääjä saa kohdetietokoneen hallintaansa. Microsoft Internet Explorer (IE) on laajassa käytössä oleva internetsivustojen selainohjelma.
Hyökkääjä voi haavoittuvuuksia hyväksikäyttämällä suorittaa kohdetietojärjestelmässä omia komentojaan ja saavuttaa tätä kautta kohdetietojärjestelmän hallinnan. Microsoft on luokitellut haavoittuvuudet kriittisiksi eli Critical-luokkaan.
Haavoittuvuuksista ensimmäinen liittyy Internet Explorer -selainohjelman tapaan käsitellä Web-palvelimen lähettämiä tietoja. Hyökkääjä voi hyväksikäyttää haavoittuvuutta ylläpitämänsä Web-sivuston avulla.
Haavoittuvuuksista toinen liittyy Internet Explorer-selainohjelman tapaan käsitellä ladattavia tiedostoja. Hyökkääjä voi hyväksikäyttää myös tätä haavoittuvuutta ylläpitämänsä Web-sivuston avulla.
On huomioitavaa, että molempien haavoittuvuuksien hyväksikäyttö ei vaadi merkittäviä toimia hyökkääjän osalta. Hyökkääjä voi hyväksikäyttää näitä kahta haavoittuvuutta myös lähettämällä hyökkäystä varten suunnitellun HTML-sähköpostiviestin kohdetietojärjestelmän käyttäjälle.
Haavoittuvuudelle alttiit järjestelmät:
- Microsoft Internet Explorer 5.01
- Microsoft Internet Explorer 5.5
- Microsoft Internet Explorer 6.0
- Windows 2003 Server-käyttöjärjestelmälle tarkoitettu Microsoft Internet Explorer-selainohjelmaversio 6.0
Ratkaisu: Päivitä haavoittuva Internet Explorer-selainohjelma korjaustiedostolla, joka on ladattavissa osoitteista:
http://www.microsoft.com/technet/security/bulletin/MS03-020.asp
http://www.microsoft.com/security/security_bulletins/ms03-020.asp
Korjaustiedosto on kumulatiivinen, ja se korjaa näin myös kaikki aiemmat haavoittuvuudet Microsoft Internet Explorer-selainohjelmaversioista 5.01, 5.5 ja 6.0 näiden kahden uuden haavoittuvuuden lisäksi.
Lisätietoja:
http://www.microsoft.com/technet/security/bulletin/MS03-020.asp
http://www.microsoft.com/security/security_bulletins/ms03-020.asp
http://www.eeye.com/html/Research/Advisories/AD20030604.html
Tilaa HighTech Forum -uutiskirje! Perjantaisin suoraan sähköpostiin lähetettävä HTF-uutiskirje sisältää linkit viikon tärkeimpiin oululaisiin, pohjoissuomalaisiin ja kansainvälisiin tietotekniikkauutisiin.