CERT-FI haavoittuvuustiedote 067/2003

16.10.2003

Haavoittuvuus Microsoft Exchange -ohjelmistossa

Kohde:	- palvelimet ja palvelinsovellukset	Lisätietoja
Hyökkäystapa:	- ilman kirjautumista - etäkäyttö - ilman käyttäjän toimia	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen - palvelunestohyökkäys	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Microsoft Exchange on laajassa käytössä oleva palvelinohjelmisto. Ohjelmistoa käytetään mm. sähköpostien välitykseen. Microsoft Exchange -palvelinohjelmistosta on löydetty haavoittuvuus, joka liittyy ohjelmiston tapaan käsitellä SMTP (Simple Mail Transfer Protocol) -palvelulle osoitettuja yhteyspyyntöjä.

Haavoittuvuutta hyväksikäyttämällä hyökkääjällä on mahdollisuus kohdistaa kohdetietojärjestelmään palvelunestohyökkäys. Hyökkääjällä voi olla myös mahdollisuus suorittaa kohdetietojärjestelmässä omia komentojaan SMTP-palvelun oikeuksin.

Hyökkääjä voi hyväksikäyttää haavoittuvuutta lähettämällä kohdetietojärjestelmään tietyllä tavalla muotoillun yhteyspyynnön.

HAAVOITTUVAT OHJELMISTOT:

• Microsoft Exchange Server 5.5, varustettuna Service Pack -versiolla 4:
  
  Haavoittuvuutta hyväksikäyttämällä hyökkääjän on mahdollista kohdistaa kohdetietojärjestelmään palvelunestohyökkäys. Microsoft on luokitellut tämän haavoittuvuuden Important-luokkaan.
  

• Microsoft Exchange Server 2000, varustettuna Service Pack -versiolla 3:
  
  Haavoittuvuutta hyväksikäyttämällä hyökkääjän on mahdollista kohdistaa kohdetietojärjestelmään palvelunestohyökkäys tai hyökkääjän voi olla mahdollista suorittaa järjestelmässä omia komentojaan SMTP-palvelun oikeuksin. Microsoft on luokitellut tämän haavoittuvuuden Critical-luokkaan.

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuva tietojärjestelmä korjaustiedostolla, joka on ladattavissa osoitteesta:

http://www.microsoft.com/technet/security/bulletin/MS03-046.asp

Jos korjaustiedoston asentaminen ei ole mahdollista, rajaa haavoittuvuuden hyväksikäyttöä Microsoftin julkaiseman turvatiedotteen mukaisesti.

LISÄTIETOA:

http://www.microsoft.com/technet/security/bulletin/MS03-046.asp
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0714

PÄIVITYSHISTORIA:

16.10.2003: Julkaistu

Sivua päivitetty 30.07.2007

Tulostusversio