CERT-FI haavoittuvuustiedote 059/2002

5.9.2002

Haavoittuvuus Microsoftin varmenteiden todennuksessa

Kohde:	- työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- etäkäyttö	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

IETF:n (Internet Engineering Task Force) oman X.509 profiilin mukaan varmenteessa voi olla useita vaihtoehtoisia rivejä. Yksi näistä riveistä on ns. "Basic Constraint Field", joka voi pitää sisällään tiedon varmenneketjun pituudesta. Haavoittuvuus liittyy tämän varmenneketjun todennusprosessiin. Haavoittuvuutta hyväksikäyttämällä hyökkääjän on mahdollista mm. allekirjoittaa sähköposteja toisen käyttäjän varmenteella tai perustaa Internettiin tekaistu www-sivusto, jonka tarkoituksena on esittää jotain toista www-sivustoa SSL-istunnon avulla.

HAAVOITTUVAT OHJELMISTOT:

Microsoft Windows käyttöjärjestelmät, Microsoft Office (Mac -versio), Microsoft Internet Explorer (Mac -versio), Microsoft Outlook Express (Mac-versio)

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuva tietojärjestelmä Microsoft turvallisuustiedotteen MS02-050 ohjeiden mukaisesti. Tiedote löytyy osoitteesta:

http://www.microsoft.com/technet/security/bulletin/MS02-050.asp

LISÄTIETOA:

http://www.microsoft.com/technet/security/bulletin/MS02-050.asp

PÄIVITYSHISTORIA:

05.09.2002: Julkaistu

Sivua päivitetty 21.08.2007

Tulostusversio