CERT-FI haavoittuvuustiedote 034/2002

5.6.2002

Haavoittuvuus Microsoft Internet Explorer / Proxy Server 2.0 / Isa Server 2000 -ohjelmistoissa

Kohde:	- palvelimet ja palvelinsovellukset - työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- etäkäyttö	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen - käyttövaltuuksien laajentaminen	Lisätietoja
Ratkaisu:	- ongelman rajoittaminen	Lisätietoja

Microsoft Internet Explorer / Proxy Server 2.0 / ISA Server 2000 –ohjelmistojen gopher-asiakaskoodissa on puskuriylivuotohaavoittuvuus joka mahdollistaa hyökkääjän vapaavalintaisen ohjelmakoodin ajon. MSIE-ohjelmiston osalta vapaavalintainen ohjelmakoodi ajetaan selaimen käyttäjän oikeuksilla. Proxy Server 2.0 ja ISA Server 2000 –ohjelmistoissa hyökkääjä voi ajaa ohjelmakoodin LocalSystem-oikeuksilla, antaen hyökkääjälle välittömästi pääkäyttäjän oikeudet. Microsoft on luokitellut haavoittuvuuden Critical-luokkaan. Haavoittuvuuden hyödyntämiseen riittää käynti www-sivulla jonka html-koodiin hyökkääjä on sijoittanut aktivoivan gopher-viittauksen.

HAAVOITTUVAT OHJELMISTOT:

Microsoft Internet Explorer 5.01, 5.5. 6.0 (mahdollisesti myös aikaisemmat versiot)

Microsoft Proxy Server 2.0

ISA Server 2000

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Estä MSIE-selaimen gopher-protokollan käyttö määrittelemällä gopher-välimuistipalvelimeksi
(Tools -> Internet Options -> LAN Settings -> Use a proxy server )
ns. localhost-osoite (127.0.0.1), portiksi 1

Jos käytössä on välimuistipalvelujen automaattinen konfigurointi
(autoconfiguration), tee vastaavat muutokset autokonfiguraatioskriptiin. Esimerkki tarvittavista muutoksista löytyy Microsoftin turvatiedotteesta MS02-027 (URL-linkki Lisätietoa–osuudessa)

Ohjeet gopher-protokollan käytön estämiseksi ISA / Proxy-palvelimista löytyvät Microsoftin turvatiedotteesta MS02-027 (URL-linkki Lisätietoa-osuudessa)

Ohjelmistopäivityksiä ei ole saatavilla tällä hetkellä (12.6.2002). Tätä varoitusta täydennetään ohjelmistopäivitysinformaatiolla kun lisätietoa on saatavissa.

LISÄTIETOA:

http://www.solutions.fi/index.cgi/news_2002_06_04?lang=fi
http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS02-027.asp

PÄIVITYSHISTORIA:

05.06.2002: Julkaistu
12.06.2002: Lisätty Microsoft-turvabulletiinin MS02-027 tiedot

Sivua päivitetty 22.08.2007

Tulostusversio