CERT-FI haavoittuvuustiedote 072/2003

4.11.2003

Haavoittuvuuksia S/MIME-protokollatoteutuksissa

Kohde:	- palvelimet ja palvelinsovellukset - työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- etäkäyttö	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen - palvelunestohyökkäys	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

S/MIME (Secure Multipurpose Internet Mail Extension) on sähköpostiviestien salaamiseen ja allekirjoittamiseen tarkoitettu protokolla. Eri S/MIME-protokollatoteutuksista on löydetty useita erilaisia haavoittuvuuksia.

S/MIME-protokollan mukaisesti salatun viestin ja/tai allekirjoituksen koodauksessa käytetään ASN.1 (Abstract Syntax Notation One) kuvauskieltä. Löydetyt haavoittuvuudet liittyvät tietyllä tavalla muokattujen ASN.1 elementtien virheelliseen käsittelyyn. Haavoittuvuuksia hyväksikäyttämällä hyökkääjä voi kohdistaa kohdetietojärjestelmään palvelunestohyökkäyksen ja mahdollisesti suorittaa kohdejärjestelmässä omia komentojaan. Ohjelmistohaavoittuvuudet ja niiden vaikutukset vaihtelevat eri valmistajien tuotteissa.

HAAVOITTUVAT OHJELMISTOT:

Useat eri S/MIME-protokollatoteutukset. Päivittyvää lisätietoa eri valmistajien tuotteiden haavoittuvuuksista löytyy osoitteesta:

http://www.uniras.gov.uk/vuls/2003/006489/smime.htm

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuva ohjelmisto valmistajan ohjeiden mukaan. Lisätietoa haavoittuvista ohjelmistoista löytyy osoitteesta:

http://www.uniras.gov.uk/vuls/2003/006489/smime.htm

LISÄTIETOA:

http://www.uniras.gov.uk/vuls/2003/006489/smime.htm

PÄIVITYSHISTORIA:

04.11.2003: Julkaistu

Sivua päivitetty 30.07.2007

Tulostusversio