Cert-Fi tiedottaa Microsoftin ohjelmistoista löytyneistä haavoittuvuuksista. Esimerkiksi Microsoft Office -ohjelmistoista on löydetty useita vakavia haavoittuvuuksia, jotka voivat mahdollistaa mielivaltaisen koodin suorittamisen kohdejärjestelmässä.
Microsoft on luokitellut haavoittuvuudet Office 2000 -ohjelmistoissa kriittisiksi. Muissa Office-versiossa luokituksena on vakava, sillä ne varoittavat käyttäjää mahdollisesta hyväksikäytöstä vihamielistä tiedostoa avattaessa.
Haavoittuvuutta voidaan hyväksikäyttää tietyllä tavalla muokatulla Office-dokumentilla. Muokattu dokumentti voidaan välittää haavoittuvalle ohjelmistolle esimerkiksi sähköpostin liitetiedostona tai www-sivuston kautta.
Haavoittuvuudet koskevat laajalti esimerkiksi PowerPointin, Wordin, Excelin, FrontPagen, ja Outlookin versioita.
Tarkemmat versiotiedot ovat saatavilla Microsoftin julkaisemista tietoturvatiedotteista MS06-058, MS06-059, MS06-060 ja MS06-062.
Haavoittuvuuksia Windowsin XML-käsittelyssä
Microsoft Windows -käyttöjärjestelmän XML Core Services- ja XML Parser -komponenteista on löydetty kaksi haavoittuvuutta, jotka voivat mahdollistaa luottamuksellisten tietojen paljastumisen tai mielivaltaisen koodin suorittamisen kohdejärjestelmässä. Vakavampi haavoittuvuuksista on Microsoftin mukaan luokiteltu kriittiseksi ja se liittyy XSLT-tyylitiedostojen käsittelyyn.
Vektorigrafiikkatiedostojen käsittelyssä reikä
VML on Windows-käyttöjärjestelmien tukema vektorigrafiikan piirtämiseen tarkoitettu XML-pohjainen kuvauskieli. Haavoittuvuuden hyväksikäyttämiseen liittyvää haittaohjelmakoodia on julkaistu tietoturva-aiheisella sivustolla.
Internet Explorer -selainohjelman käyttäjät voivat saada haittaohjelmatartunnan käymällä haitallista ohjelmakoodia sisältävällä www-sivulla. Muut selaimet eivät Cert-Fi:n tietojen mukaan ole haavoittuvia.
Microsoft on luokitellut haavoittuvuuden kriittiseksi. Haavoittuvuuden hyväksikäyttö on ollut laajaa.
Kansioiden web-näkymässä haavoittuvuus
Cert-Fi kertoo vielä Windowsin web-näkymä-toiminteen haavoittuvuudesta. Toiminnon avulla kansion tai tiedoston sisältö näkyy esikatselukuvakkeena. Sitä voidaan käyttää hyväksi hyökkäystarkoituksessa luodun tiedoston tai web-sivun sisältöä tarkasteltaessa. Hyökkääjä voi suorittaa ohjelmakoodia käyttäjän oikeuksin.
Microsoft on luokitellut haavoittuvuuden kriittiseksi Windows 2000- ja XP -järjestelmissä ja vakavaksi Server 2003 -järjestelmässä. Haavoittuvuuden hyväksikäyttö on ollut laajaa.
Haavoittuvuuksiin on saatavilla korjaavat ohjelmistopäivitykset, jotka voi ladata Windowsin päivitystyökalulla. Helpoin tapa päivitysten asentamiseen on Microsoftin päivityspalvelu http://update.microsoft.com