Viestintäviraston CERT-FI -tietoturvallisuusyksikön viime yönä antaman varoituksen mukaan Microsoft Windows -käyttöjärjestelmistä on löydetty kolme uutta haavoittuvuutta, jotka liittyvät DCOM (Distributed Component Object Model) toiminnon aktivointiin käytettyjen RPC-viestien käsittelyyn. Kolme viime viikkoa kestänyt virustaistelu sai myös alkunsa RPC-aukoista.
RPC (Remote Procedure Call) on protokolla, jonka avulla tietojärjestelmä voi verkon välityksellä esimerkiksi kutsua toisen tietojärjestelmän ohjelmia.
Nyt havaituista haavoittuvuuksista kaksi on puskuriylivuotohaavoittuvuuksia, joiden hyväksikäyttö mahdollistaa hyökkääjän omien komentojen suorittamisen kohdetietojärjestelmässä.
Kolmatta haavoittuvuutta hyväksikäyttämällä hyökkääjän on mahdollistaa kohdistaa kohdetietojärjestelmään palvelunestohyökkäys. Haavoittuvuuksien hyväksikäyttö on mahdollista lähettämällä tietyllä tavalla muokattuja viestejä kohdejärjestelmän RPC-protokollan toteuttavalle RPCSS-palvelulle.
Haavoittuvuudelle alttiit järjestelmät:
- Microsoft Windows NT 4.0
- Microsoft Windows 2000
- Microsoft Windows XP
- Microsoft Windows 2003
Ratkaisu:
- Päivitä haavoittuva tietojärjestelmä valmistajan ohjeiden mukaan: http://www.microsoft.com/security/security_bulletins/ms03-039.asp
- Haavoittuvuuden hyväksikäyttöä voidaan rajoittaa myös estämällä liikennöinti TCP- ja UDP-portteihin 135, 139 ja 445 sekä TCP-porttiin 593.
- Mikäli tietojärjestelmän päivittäminen ei ole mahdollista, voidaan haavoittuvuuksien hyväksikäyttö estää poistamalla käytöstä DCOM-toiminto.
Lisätietoja:
http://www.microsoft.com/technet/security/bulletin/MS03-039.asp
http://www.microsoft.com/security/security_bulletins/ms03-039.asp