Kuluttajien luottamus Microsoftin kykyyn tuottaa ja korjata toimivia ja turvallisia ohjelmistoja koki torstaina kovan kolauksen, kun Viestintäviraston CERT-FI-tietoturvayksikkö varoitti viidestä uudesta haavoittuvuudesta ohjelmistojätin käyttöjärjestelmissä ja ohjelmissa.
Viestintäviraston CERT-FI -tietoturvallisuusyksikön varoitukset:
CERT-FI varoitus 67/2003: Haavoittuvuus Microsoft Exchange -ohjelmistossa
Microsoft Exchange-palvelinohjelmistosta on löydetty haavoittuvuus, joka liittyy ohjelmiston tapaan käsitellä SMTP (Simple Mail Transfer Protocol)-palvelulle osoitettuja yhteyspyyntöjä.
Haavoittuvuutta hyväksikäyttämällä hyökkääjällä on mahdollisuus kohdistaa kohdetietojärjestelmään palvelunestohyökkäys. Hyökkääjällä voi olla myös mahdollisuus suorittaa kohdetietojärjestelmässä omia komentojaan SMTP-palvelun oikeuksin.
Hyökkääjä voi hyväksikäyttää haavoittuvuutta lähettämällä kohdetietojärjestelmään tietyllä tavalla muotoillun yhteyspyynnön.
Lisätietoja, joista selviää haavoittuvuudelle alttiit järjestelmät, ratkaisu sekä linkki päivitysversioon:
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-67.htm
http://www.microsoft.com/technet/security/bulletin/MS03-046.asp
CERT-FI varoitus 68/2003: Haavoittuvuus Windows-käyttöjärjestelmien Authenticode-toiminnossa
Microsoft Windows käyttöjärjestelmien Authenticode on turvaominaisuus, mitä käytetään digitaalisesti allekirjoitettujen ActiveX-kontrollien ohjelmakoodien todentamiseen. Authenticode- toiminnosta on löydetty haavoittuvuus, mikä liittyy valtuuden pyytämiseen käyttäjältä ActiveX-kontrollin suorittamista varten.
Authenticode-ominaisuudesta löydetty haavoittuvuus mahdollistaa ActiveX-kontrollien suorittamisen tietyissä tilanteissa ilman käyttäjän hyväksyntää.
Haavoittuvuutta hyväksikäyttämällä hyökkääjän on mahdollista suorittaa kohdejärjestelmässä omaa ohjelmakoodia käyttäjän tietämättä ja ilman käyttäjän hyväksyntää. Haavoittuvuuden hyväksikäyttö on mahdollista WWW-palvelimen tai sähköpostin välityksellä.
Lisätietoja, joista selviää haavoittuvuudelle alttiit järjestelmät, ratkaisu sekä linkki päivitysversioon:
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-68.htm
http://www.microsoft.com/technet/security/bulletin/MS03-041.asp
CERT-FI varoitus 69/2003: Haavoittuvuus Microsoft Windows 2000 -käyttöjärjestelmän Troubleshooter ActiveX -kontrollissa
Microsoft Windows 2000 -käyttöjärjestelmän Troubleshooter ActiveX -kontrollista (Tshoot.ocx) on löydetty puskuriylivuoto-haavoittuvuus. Haavoittuvuutta hyväksikäyttämällä hyökkääjän voi olla mahdollista suorittaa kohdetietojärjestelmässä haluamaansa koodia käyttäjän oikeuksilla.
Troubleshooter ActiveX -kontrolli asennetaan oletuksena Windows 2000 -käyttöjärjestelmän asennuksessa.
Hyökkääjä voi hyväksikäyttää haavoittuvuutta lähettämällä HTML-koodatun sähköpostiviestin kohdetietojärjestelmän käyttäjälle tai luomalla vihamielisen WWW-sivun, jolla käyminen mahdollistaa haavoittuvuuden hyödyntämisen. Microsoft on luokitellut haavoittuvuuden Critical -luokkaan.
Lisätietoja, joista selviää haavoittuvuudelle alttiit järjestelmät, ratkaisu sekä linkki päivitysversioon:
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-69.htm
http://www.microsoft.com/technet/security/bulletin/ms03-042.asp
MS03-042 -turvatiedotteessa kuvataan useita rajoitusmenetelmiä haavoittuvuuden hyödyntämisreitin väliaikaiseksi estämiseksi.
CERT-FI varoitus 70/2003: Haavoittuvuus Microsoft Windows -käyttöjärjestelmien Messenger-palvelussa
Messenger-palvelu on Microsoft Windows -käyttöjärjestelmien tekstipohjainen lähetyspalvelu, jota järjestelmien ylläpitäjät käyttävät lähettääkseen varoituksia käyttäjille. Messenger-palvelusta on löydetty puskuriylivuoto-haavoittuvuus.
Haavoittuvuutta hyväksikäyttämällä hyökkääjän voi olla mahdollista suorittaa kohdetietojärjestelmässä koodia tietojärjestelmän paikallisilla oikeuksilla tai aiheuttaa Messenger-palvelun kaatumisen.
Hyökkäyksen seurauksena hyökkääjän voi olla mahdollista saada kohdetietojärjestelmään täydet käyttöoikeudet ja esimerkiksi asentaa ohjelmistoja tai poistaa tiedostoja.
Microsoft on luokitellut haavoittuvuuden Critical -luokkaan.
Lisätietoja, joista selviää haavoittuvuudelle alttiit järjestelmät, ratkaisu sekä linkki päivitysversioon:
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-70.htm
http://www.microsoft.com/technet/security/bulletin/ms03-043.asp
MS03-043 -turvatiedotteessa kuvataan useita rajoitusmenetelmiä haavoittuvuuden hyödyntämisreitin väliaikaiseksi estämiseksi.
CERT-FI varoitus 71/2003: Haavoittuvuus Microsoft Windows -käyttöjärjestelmien HSC-toiminnossa
HSC (Help and Support Center) on Windows-käyttöjärjestelmissä oleva toiminne, joka tarjoaa käyttäjälle ohjeita eri aiheista. HSC-toiminteesta on löydetty haavoittuvuus, joka liittyy puskuriylivuoto-ongelmaan.
Haavoittuvuutta hyväksikäyttämällä hyökkääjän voi olla mahdollista suorittaa omia komentojaan kohdetietojärjestelmässä. Haavoittuvuutta voidaan hyväksikäyttää esimerkiksi tietyn tyyppisellä URL-osoitteella, joka voi sijaita www-sivustolla tai joka voidaan toimittaa kohdetietojärjestelmään sähköpostin välityksellä.
Microsoft on luokitellut Windows XP ja Windows Server 2003 -käyttöjärjestelmiin liittyvät haavoittuvuudet Critical-luokkaan.
Lisätietoja, joista selviää haavoittuvuudelle alttiit järjestelmät, ratkaisu sekä linkki päivitysversioon:
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-71.htm
http://www.microsoft.com/technet/security/bulletin/MS03-044.asp