Viestintäviraston CERT-FI -tietoturvallisuusyksikön varoituksen mukaan Microsoft Internet Explorer -selaimesta on löytynyt kaksi uutta haavoittuvuutta, joita hyväksikäyttämällä hyökkääjä voi suorittaa kohdejärjestelmässä omia komentojaan. Haavoittuvuuksien hyväksikäyttö on mahdollista myös sähköpostin välityksellä.
Uudet haavoittuvuudet liittyvät selainohjelman puutteelliseen tapaan määritellä WWW-palvelimelta saatu tietueen tyyppi. Toinen haavoittuvuuksista liittyy popup-ikkunassa olevan tietueen tyypin määrittämiseen, toinen XML-datan kytkemisen (XML data binding) aikana tapahtuvaan tietueen tyypin määrittämiseen.
Microsoft on julkaissut Internet Explorer (IE) -selainohjelmaan kumulatiivisen korjaustiedoston, mikä korjaa vanhojen jo aikaisemmin korjattujen haavoittuvuuksien lisäksi kaksi nyt julkistettua vakavaa haavoittuvuutta.
Hyökkäysriskiä lisää se, että haavoittuvuuksille on julkisesti saatavilla olevia hyödyntämismenetelmiä. Haavoittuvuuksia on jo myös aktiivisesti hyväksikäytetty.
Haavoittuvuudelle alttiit järjestelmät:
- Microsoft Internet Explorer 5.01
- Microsoft Internet Explorer 5.5
- Microsoft Internet Explorer 6.0
- Microsoft Internet Explorer 6.0 Windows Server 2003 -käyttöjärjestelmälle
Ratkaisu:
Päivitä haavoittuvat selainohjelmat välittömästi korjaustiedostolla.
Korjauspäivitys IE 6.0 Windows Server 2003 -käyttöjärjestelmälle
Korjaustiedosto kaikille muille IE-versioille
Lisätietoja:
http://www.microsoft.com/security/security_bulletins/ms03-040.asp
http://www.microsoft.com/technet/security/bulletin/ms03-040.asp
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-54.htm