CERT-FI haavoittuvuustiedote 058/2003

11.9.2003

Vakavia haavoittuvuuksia Microsoft RPC -rajapinnassa

Kohde:	- palvelimet ja palvelinsovellukset - työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- etäkäyttö	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen - palvelunestohyökkäys	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys - ongelman rajoittaminen	Lisätietoja

RPC (Remote Procedure Call) on protokolla, jonka avulla tietojärjestelmä voi verkon välityksellä esimerkiksi kutsua toisen tietojärjestelmän ohjelmia. Microsoft Windows käyttöjärjestelmistä on löydetty kolme uutta haavoittuvuutta, jotka liittyvät DCOM (Distributed Component Object Model) toiminnon aktivointiin käytettyjen RPC-viestien käsittelyyn.

Kaksi haavoittuvuuksista on puskuriylivuotohaavoittuvuuksia, joiden hyväksikäyttö mahdollistaa hyökkääjän omien komentojen suorittamisen kohdetietojärjestelmässä. Kolmatta haavoittuvuutta hyväksikäyttämällä hyökkääjän on mahdollistaa kohdistaa kohdetietojärjestelmään palvelunestohyökkäys. Haavoittuvuuksien hyväksikäyttö on mahdollista lähettämällä tietyllä tavalla muokattuja viestejä kohdejärjestelmän RPC-protokollan toteuttavalle RPCSS-palvelulle.

Toisen puskuriylivuotohaavoittuvuuden hyväksikäyttömenetelmä on julkisesti saatavilla. On erityisen tärkeää, että haavoittuvien tietojärjestelmien ylläpitäjät päivittävät haavoittuvat tietojärjestelmät korjaustiedostolla tai estävät muilla ratkaisu/rajoitusmahdollisuuksilla haavoittuvien tietojärjestelmien hyväksikäytön.

HAAVOITTUVAT OHJELMISTOT:

• Microsoft Windows NT 4.0

• Microsoft Windows 2000

• Microsoft Windows XP

• Microsoft Windows 2003

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuva tietojärjestelmä valmistajan ohjeiden mukaan:

http://www.microsoft.com/security/security_bulletins/ms03-039.asp

Haavoittuvuuden hyväksikäyttöä voidaan rajoittaa myös estämällä liikennöinti TCP- ja UDP-portteihin 135, 139 ja 445 sekä TCP-porttiin 593.

Mikäli tietojärjestelmän päivittäminen ei ole mahdollista, voidaan haavoittuvuuksien hyväksikäyttö estää poistamalla käytöstä DCOM-toiminto.

LISÄTIETOA:

http://www.microsoft.com/technet/security/bulletin/MS03-039.asp

http://www.microsoft.com/security/security_bulletins/ms03-039.asp

VERSIOHISTORIA

10.9.2003 Ensimmäinen versio julkaistu

17.9.2003 Toinen versio julkaistu: lisätty tieto julkisesti saatavilla olevasta haavoittuvuuden
hyödyntämismenetelmästä ja korjaustiedoston sekä ratkaisu/rajoitusmahdollisuuksien
suorittamisen tärkeydestä

PÄIVITYSHISTORIA:

11.09.2003: Julkaistu

Sivua päivitetty 30.07.2007

Tulostusversio