Viestintäviraston CERT-FI –tietoturvallisuusyksikkö varoittaa Microsoft Office Web Components (OWC) –ohjelmiston, joka kuuluu muun muassa Office 2000- ja Office XP -paketteihin, sisältävän useita ActiveX-kontrolleja, jotka mahdollistavat Office-sovellusten rajoitetun käytön WWW-selaimessa ilman täyttä Office-asennusta.
OWC:n ActiveX-kontrolleissa on kolme haavoittuvuutta, joita voidaan hyödyntää WWW-sivun tai HTML-pohjaisen sähköpostiviestin kautta:
Host: Tätä funktiota käyttämällä hyökkääjä voi erimerkiksi käynnistää Office-soveluksen käyttäjän järjestelmässä ja suorittaa komentoja käyttöjärjestelmäkomentoja käyttäjän oikeuksilla.
LoadText: Tämä metodi mahdollistaa tekstin lataamisen selainikkunaan. Hyökkääjä voi käyttää tätä metodia minkä tahansa tiedoston lukemiseen käyttäjän järjestelmästä.
Copy /Paste: Tämä metodi mahdollistaa leikkaa/liimaa -toiminnon tekstille. Metodi ei noudata "disallow paste via script" -asetusta Internet Explorer -selaimessa ja mahdollistaa siten hyökkääjälle minkä tahansa leikepöydälle kopioidun tekstin edelleenlähetyksen.
Microsoft luokittelee haavoittuvuuksien yhteisriskin työasemajärjestelmissä Critical-luokkaan.
Haavoittuvuudelle alttiit järjestelmät:
- Microsoft Office Web Components 2000 ja 2002
Seuraavat ohjelmistot sisältävät OWC-ohjelmiston:
- Microsoft BackOffice Server 2000
- Microsoft BizTalk Server 2000 ja 2002
- Microsoft Commerce Server 2000 ja 2002
- Microsoft Internet Security and Acceleration Server 2000
- Microsoft Money 2002 ja 2003
- Microsoft Office 2000 ja Office XP
- Microsoft Project 2002
- Mircosoft Project Server 2002
- Microsoft Small Business Server 2000
Ratkaisu:
Päivitä ohjelmistot Microsoft-turvallisuustiedotteen MS02-044 ohjeiden mukaisesti.
