Microsoft ja Viestintäviraston CERT-FI –tietoturvallisuusyksikkö varoittavat Windows-käyttäjiä kolmesta tietoturva-aukosta, joiden kautta hyökkääjä voi ottaa hallintaansa verkon kautta ulkopuolisen mikron. Haavoittuvuus on Microsoft VM Java-virtuaalikoneessa, joka toimitetaan useimpien Windows-käyttöjärjestelmien ja Internet Explorer -versioiden mukana.
Haavoittuvuuksille ovat alttiita kaikki tietojärjestelmät, joissa on Microsoft VM –toiminnallisuus versioon 5.0.3805 asti. Version voi tarkistaa helposti ajamalla komentoikkunassa komennon "jview". Jview-ohjeman versio vastaa Microsoft VM -versiota.
Microsoft on luokitellut haavoittuvuudet kokonaisuutena Critical-luokkaan ja suosittelee välitöntä ohjelmistopäivitystä.
Yhtiö onkin julkaissut ohjelmistopäivityksen, joka korjaa kolme haavoittuvuutta Microsoft VM -ympäristössä:
- Haavoittuvuus Java Database Connectivity (JDBC) -luokkien tekemissä tarkistuksissa käyttäjän tietokoneen DLL-kirjastojen kutsumisessa: tarkistus on mahdollista kiertää ja mikä tahansa käyttäjän tietokoneessa oleva DLL-kirjasto on kutsuttavissa.
- Haavoittuvuus JDBC-luokkien tiettyjen funktioiden syötteiden tarkastuksessa mahdollistaa Internet Explorerin kaatumisen ja mahdollisesti hyökkääjän koodin ajamisen Internet Explorer-käyttäjän oikeuksilla.
- Haavoittuvuus XML-tuen mahdollistavassa Java-luokassa mahdollistaa Java-appletille tehdä haavoittuvassa järjestelmässä mitä tahansa toimenpiteitä.
Ratkaisu:
Päivitä Microsoft VM Microsoft -turvatiedotteen MS02-052 mukaisesti