CERT-FI haavoittuvuustiedote 080/2003

27.11.2003

Haavoittuvuuksia Microsoft Internet Explorer -selainohjelmassa


Kohde:	- työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- etäkäyttö	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen	Lisätietoja
Ratkaisu:	- ongelman rajoittaminen	Lisätietoja

Microsoft Internet Explorer (IE) on laajassa käytössä oleva selainohjelma. Internet Explorer -selainohjelmasta on löytynyt useita uusia haavoittuvuuksia.

Hyökkääjä voi yhdistelemällä useita haavoittuvuuksia ohittaa Internet Explorer –selainohjelman tietoturvallisuuteen liittyvät kontrollit ja suorittaa kohdetietojärjestelmässä omia komentojaan. Haavoittuvuuksia voidaan hyväksikäyttää vihamielistä koodia sisältävän HTML-pohjaisen sähköpostin tai www-sivun avulla.

Haavoittuvuuksille on olemassa julkisesti saatavilla olevia hyödyntämismenetelmiä.

HAAVOITTUVAT OHJELMISTOT:

Seuraavat selainohjelman versiot ovat haavoittuvia, vaikka haavoittuvaan tietojärjestelmään olisi asennettu Microsoftin varoituksen MS03-048 mukainen korjaustiedosto:

Microsoft Internet Explorer 5.01
Microsoft Internet Explorer 5.5
Microsoft Internet Explorer 6

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Rajoita haavoittuvuuden hyväksikäytön mahdollisuutta seuraavilla toimenpiteillä:

Poista käytöstä Active Scripting ja ActiveX kontrollit
Poista käytöstä mhtml-dokumenttien tulkitseminen nimeämällä rekisteriavain HKEY_CLASSES_ROOT\PROTOCOLS\Handler\mhtml uudelleen

Ohjeet Active Scripting ja ActiveX kontrollien käytöstä poistamiseen löytyy osoitteesta:

http://www.uniras.gov.uk/l1/l2/l3/tech_reports/NTN0503_Web_Browsers.pdf

Teknistä tietoa selainohjelman tietoturvatasoista on saatavilla osoitteesta:

http://msdn.microsoft.com/workshop/security/szone/overview/overview.asp