Viestintäviraston CERT-FI -tietoturvallisuusyksikön varoituksen mukaan Microsoft Internet Explorer (IE) -selainohjelmasta on löydetty kaksi uutta kriittiseksi luokiteltua haavoittuvuutta.
Haavoittuvuuksista ensimmäinen liittyy selainohjelman tapaan käsitellä kahden eri www-sivuston tietoja erillisissä ikkunoissa. Haavoittuvuutta hyväksikäyttämällä hyökkääjän voi olla mahdollista pahimmassa tapauksessa ladata kohdetietojärjestelmään omaa ohjelmakoodiaan.
Hyökkääjän voi olla myös mahdollista tätä haavoittuvuutta hyväksikäyttämällä käynnistää kohdetietojärjestelmässä jo olevia ohjelmistoja sekä päästä lukemaan kohdetietojärjestelmän sisältämiä tietoja.
Haavoittuvuuksista toinen liittyy selainohjelman www-sivuilta saamien tietueiden tyypin määrittämiseen. Haavoittuvuutta hyväksikäyttämällä hyökkääjän voi suorittaa kohdetietojärjestelmässä omia komentojaan. Haavoittuvuutta voidaan hyväksikäyttää myös HTML-pohjaisen sähköpostiviestin avulla.
Haavoittuvuudelle alttiit järjestelmät:
- Microsoft Internet Explorer 5.01
- Microsoft Internet Explorer 5.5
- Microsoft Internet Explorer 6.0
- Microsoft Internet Explorer 6.0 Windows Server 2003-käyttöjärjestelmälle
Ratkaisut:
Päivitä haavoittuva tietojärjestelmä korjaustiedostolla, joka on ladattavissa osoitteesta:
http://www.microsoft.com/technet/security/bulletin/MS03-032.asp
Korjaustiedosto on kumulatiivinen, joten se sisältää kaikki aikaisemmin Microsoft Internet Explorer-selainohjelmaversioihin 5.01, 5.5 ja 6.0 ilmestyneet korjaustiedostot.
Huomautus: On havaittu, ettei Microsoftin julkaisema tietoturvapäivitys korjaa täysin tietueiden tyypin määrittämiseen liittyvää haavoittuvuutta. Haavoittuvuuden hyväksikäyttöä voidaan rajoittaa välttämällä Active X -toiminnon suorittamista selaimen turvallisuusasetuksilla.
Lisätietoja mahdollisista haavoittuvuuden hyväksikäytön rajoittamismenetelmistä on saatavilla osoitteesta:
http://www.kb.cert.org/vuls/id/865940#solution
Lisätietoja:
http://www.microsoft.com/technet/security/bulletin/MS03-032.asp