CERT-FI haavoittuvuustiedote 068/2002

3.10.2002

Haavoittuvuuksia Microsoft Windows -käyttöjärjestelmien pakattujen tiedostojen käsittelytoiminnossa

Kohde:	- työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- etäkäyttö	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen - palvelunestohyökkäys	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Osa Microsoft Windows -käyttöjärjestelmäversioista sisältää pakattujen tiedostojen käsittelytoiminnon, jonka avulla zip-muotoon pakatut tiedostot näkyvät Windows Explorerissa kansioina ja niitä sekä kansioiden sisältämiä tiedostoja voidaan suoraan käsitellä Windows -käyttöjärjestelmässä.

• Haavoittuvuuksista ensimmäinen liittyy käsittelytoiminnossa olevaan puskurinylivuoto-ongelmaan, jota hyväksikäyttämällä hyökkääjän on mahdollista kohdentaa kohdetietojärjestelmään palvelunestohyökkäyksen tai suorittaa kohdetietojärjestelmässä omia komentojaan.
  

• Haavoittuvuuksista toinen liittyy purkamistoiminnossa olevaan purettavan tiedoston sijoittamisongelmaan, jota hyväksikäyttämällä hyökkääjän voi olla mahdollista sijoittaa purettavaan tiedostoon suoritettavaa ohjelmakoodia, jonka purkamistoiminto purkaa esimerkiksi hakemistoon, jonka sisältämät ohjelmistot suoritetaan käyttöjärjestelmän käynnistyksen yhteydessä.

HAAVOITTUVAT OHJELMISTOT:

Microsoft Windows 98 varustettuna Plus! -lisäkomponentilla

Microsoft Windows Me

Microsoft Windows XP

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuva tietojärjestelmä korjaustiedostolla, joka on ladattavissa osoitteesta:

http://www.microsoft.com/technet/security/bulletin/MS02-054.asp

LISÄTIETOA:

http://www.microsoft.com/technet/security/bulletin/MS02-054.asp

PÄIVITYSHISTORIA:

21.09.2006: Julkaistu

Sivua päivitetty 20.08.2007

Tulostusversio