Background Print only logo
Viestintäviraston etusivulle
Etusivu | Varoitukset | Tietoturva nyt! | Haavoittuvuudet | Ohjeet | Katsaukset | Palvelut | Esitykset |

CERT-FI

PL 313
00181 Helsinki
Puh: 09 6966 510
Fax: 09 6966 515

Salausavaimet

Viestintävirasto

Itämerenkatu 3 A
00180 HELSINKI
Puh: 09 6966 500
Fax: 09 6966 410

Tarkat yhteystiedot

Tietoa evästeistä

CERT-FI Facebookissa

 Etusivu > Haavoittuvuudet > 2002 > CERT-FI haavoittuvuustiedote 082/2002

CERT-FI haavoittuvuustiedote 082/2002

Palvelimet ja palvelinsovellukset Työasemat ja loppukäyttäjäsovellukset Verkon aktiivilaitteet Matkaviestimet Sulautetut järjestelmät Muut

21.11.2002

Haavoittuvuus Microsoft Data Access Components (MDAC) -ohjelmistokomponenteissa

     
Kohde: - palvelimet ja palvelinsovellukset
- työasemat ja loppukäyttäjäsovellukset
Lisätietoja
Hyökkäystapa: - etäkäyttö
Lisätietoja
Hyväksikäyttö: - komentojen mielivaltainen suorittaminen
Lisätietoja
Ratkaisu: - korjaava ohjelmistopäivitys
Lisätietoja

Microsoft Data Access Components (MDAC) on joukko ohjelmistokomponentteja joita käytetään yleisesti tietokantapalveluiden muodostamiseen Windows-käyttöjärjestelmissä. MDAC-ohjelmistokomponentit ovat mukana useiden Windows-käyttöjärjestelmien ja -ohjelmistojen perusasennuksessa. MDAC-ohjelmistokomponenttia "Remote Data Services" (RDS) voidaan käyttää osana kolmikantaista tietokantasovellusta, jossa selainta käytetään käyttöliittymänä WWW-palvelimen toimiessa sovelluksen logiikkakerroksena selaimen ja tietokannan välissä. RDS-komponentin RDS Data Stub -funktiossa on löydetty pinon ylivuotohaavoittuvuus, jota voidaan hyödyntää hyökkääjän oman koodin ajamiseen kohdejärjestelmässä.

Hyökkääjä voi hyödyntää haavoittuvuutta sekä Internet Explorer -selaimia että IIS -palvelmia kohtaan.

  • IIS-palvelimet ovat riskialttiita, jos haavoittuva MDAC-versio on ajossa palvelimella. Hyökkäys palvelinta kohtaan voisi tapahtua lähettämällä virheellisesti muotoiltu HTTP-pyyntö palvelimelle. Hyökkääjä voi ajaa ohjelmakoodia IIS-palvelun käyttäjäoikeuksilla.

  • Kaikki nykyiset Internet Explorer-selainversiot ovat haavoittuvia Windows XP -käyttöjärjestelmäympäristöä lukuunottamatta. Selaimissa ei ole mahdollisuutta kytkeä MDAC-toiminnallisuutta pois käytöstä. Hyökkäys selainta kohtaan voisi tapahtua ohjaamalla selain palvelimelle, joka lähettää virheellisesti muotoillun HTTP-vastauksen selaimelle. Hyökkääjä voi ajaa ohjelmakoodia selainkäyttäjän oikeuksilla.

Microsoft luokittelee haavoittuvuuden Critical-luokkaan.

HAAVOITTUVAT OHJELMISTOT:

  • IIS-palvelimet joissa on käytössä MDAC -versio 2.1, 2.5 tai 2.6

  • Microsoft Internet Explorer -selainversiot 5.01, 5.5 ja 6.0

Haavoittuvuus ei koske Windows XP -käyttäjiä, vaikka MSIE-selain olisi versioltaan 6.0. XP-asennuksen MDAC-versio on turvallinen 2.7.

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Microsoftin ohjeistus on kuvattu turvatiedotteessa MS02-065.

  • Windows XP-käyttäjien ja MDAC 2.7 -versiota käyttävien ei tarvitse ryhtyä toimenpiteisiin.

  • IIS-ylläpitäjien tulee päivittää MDAC -komponentit versioon 2.7 turvatiedotteen mukaisesti. Vaihtoehtoisesti MDAC- ja/tai RDS -tominnallisuus tulisi ottaa pois käytöstä.

  • Microsoft Internet Explorer -selainta käyttävien tulee päivittää MDAC-komponentit versioon 2.7 turvatiedotteen mukaisesti

Päivityksen asennuksen yhteydessä on syytä tutustua turvatiedotteen "Caveats" -osuuteen.

LISÄTIETOA:

http://www.microsoft.com/technet/security/bulletin/MS02-065.asp

PÄIVITYSHISTORIA:

21.11.2002: Julkaistu
Sivua päivitetty 20.08.2007   Tulostusversio Tulostusversio