CERT-FI haavoittuvuustiedote 032/2002

30.5.2002

Haavoittuvuus Macromedia JRun -palvelussa

Kohde:	- palvelimet ja palvelinsovellukset	Lisätietoja
Hyökkäystapa:	- etäkäyttö	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen - käyttövaltuuksien laajentaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

JRun-palvelu toimii kaikissa yleisimmissä Web-palvelinympäristöissä, kuten Microsoft Internet Information Serverissä (IIS) ja Apachessa. Haavoittuvuus liittyy puskurin ylivuoto-ongelmaan, jonka seurauksena hyökkääjä voi suorittaa kohdetietojärjestelmässä omia komentojaan SYSTEM-oikeuksilla. Haavoittuvuutta voidaan hyväksikäyttää kohdetietojärjestelmän lähiverkon ulkopuolelta käsin.

HAAVOITTUVAT OHJELMISTOT:

Windows NT4 - tai Windows 2000 -käyttöjärjestelmillä ja IIS Web -palvelinohjelmistoversioilla 4 ja 5 sekä Macromedia JRun -versioilla 3.0 tai 3.1 varustetut tietojärjestelmät.

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuva tietojärjestelmä korjaustiedostolla: Korjaustiedosto on ladattavissa osoitteesta:

http://www.macromedia.com/v1/Handlers/index.cfm?ID=22273&Method=Full#download/

LISÄTIETOA:

http://www.cert.org/advisories/CA-2002-14.html/

http://www.nextgenss.com/advisories/jrun.txt/

PÄIVITYSHISTORIA:

30.05.2002: Julkaistu

Sivua päivitetty 22.08.2007

Tulostusversio