Word-ohjelmistosta on löydetty Microsoftin kriittiseksi luokittelema
haavoittuvuus. Wordin kirjasintyyppien käsittelyrutiineihin. Hyökkääjän on mahdollista suorittaa omaa haittakoodiaan kohdejärjestelmässä, varoittaa Cert-Fi.
Haavoittuvuutta voidaan hyväksikäyttää lähettämällä kohdejärjestelmän käyttäjälle tietyllä tavalla laadittu Word-dokumentti, jonka käyttäjä avaa. Useat eri Word-versiot ovat alttiita haavoittuvuudelle:
- Microsoft Word 2000
- Microsoft Office 2000 -ohjelmistokokonaisuus mukaanlukien Software Service Pack 3 -ohjelmistopäivitys on haavoittuva.
- Microsoft Word 2002
- Microsoft Office XP -ohjelmistokokonaisuus mukaanlukien Software Service Pack 3 -ohjelmistopäivitys on haavoittuva.
- Microsoft Works Suite 2000,2001, 2002, 2003 ja 2004 -ohjelmistopaketit sisältävät haavoittuvan Word-ohjelmiston.
Sen sijaan Microsoft Office 2003 Word ja Microsoft Office 2003 Word Viewer -ohjelmistot eivät ole haavoittuvia.
Cert-Fi neuvoo olemaan avaamatta muista kuin luotetuista lähteistä saatuja Word-dokumentteja. Ohjelmiston voi päivittää Microsoftin turvatiedotteen mukaisesti.
Windowsin kuvankäsittelyssä kriittinen reikä
Microsoft -käyttöjärjestelmien väritiedon käsittelymoduulista (Microsoft Color Management Module) on myös löytynyt kriittiseksi luokiteltu haavoittuvuus.
Haavoittuvuus liittyy ICC-väriprofiilitiedon käsittelyrutiineihin. Haavoittuvuutta voidaan hyödyntää lähettämällä kohdetietojärjestelmän käyttäjälle tietyllä tavalla laadittu kuvatiedosto, jonka käyttäjä avaa. Tiedosto voidaan lähettää esimerkiksi sähköpostiviestin liitetiedostona tai ohjaamalla käyttäjä tiedoston sisältävälle www-sivulle. Haavoittuvuutta hyväksikäyttämällä hyökkääjä voi suorittaa kohdetietojärjestelmässä omaa ohjelmakoodiaan.
Microsoftin mukaan haavoittuvuutta hyödynnetään aktiivisesti.
Haavoittuvuus on luokiteltu kriittiseksi seuraavissa käyttöjärjestelmäversioissa:
- Microsoft Windows 2000 SP4
- Microsoft Windows XP SP1 ja SP2
- Microsoft Windows XP Professional x64 Edition
- Microsoft Windows Server 2003 ja Server 2003 SP1
- Microsoft Windows Server 2003 ja Server 2003 SP1 for Itanium-based systems
- Microsoft Windows Server 2003 x64 Edition
Käyttöjärjestelmä tulee päivittää Microsoftin turvatiedotteen MS05-036 ohjeiden mukaisesti.