CERT-FI haavoittuvuustiedote 056/2002

23.8.2002

Useita uusia haavoittuvuuksia Microsoft Internet Explorer -selainohjelmassa

Kohde:	- työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- etäkäyttö	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Microsoft Internet Explorer -selainohjelmasta on löydetty kuusi uutta haavoittuvuutta, joista vakavinta hyväksikäyttämällä hyökkääjän on mahdollista suorittaa omia komentojaan kohdetietojärjestelmässä. Microsoft Internet Explorer -selainohjelmasta löydettyjä haavoittuvuuksia ovat:

• puskurin ylivuotohaavoittuvuus liittyen Gopher protokollan käsittelyprosessiin. Haavoittuvuuteen on jo aikaisemmin ilmoitettu rajoittamismenetelmiä ennen tämän uusimman korjaustiedoston valmistumista

• puskurin ylivuotohaavoittuvuus koskien AxtiveX -kontrollissa käsiteltäessä tietyntyyppisesti muotoiltua tekstiä

• haavoittuvuus liittyen Microsoft Internet Explorer -selainohjelman tapaan käsitellä XML -dataa

• haavoittuvuus liittyen Microsoft Internet Explorer -selainohjelman tapaan näyttää osoitteita latausdialogissa

• haavoittuvuus liittyen domainin todentamisprosessiin

• haavoittuvuus, joka mahdollistaa komentojen suorittamisen kohdetietojärjestelmässä web-sivujen kautta suurimmilla oikeuksilla kuin normaalisti

HAAVOITTUVAT OHJELMISTOT:

Microsoft Internet Explorer -selainohjelman versiot 5.01, 5.5 sekä 6.0

Haavoittuvuuksia rajaavista seikoista saa lisätietoa osoitteesta:

http://www.microsoft.com/technet/security/bulletin/MS02-047.asp

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuva tietojärjestelmä korjaustiedostolla, joka on ladattavissa osoitteesta:

http://www.microsoft.com/windows/ie/downloads/critical/q323759ie/default.asp

LISÄTIETOA:

http://www.microsoft.com/technet/security/bulletin/MS02-047.asp

PÄIVITYSHISTORIA:

23.08.2002: Julkaistu

Sivua päivitetty 21.08.2007

Tulostusversio