CERT-FI haavoittuvuustiedote 040/2004

10.6.2004

Haavoittuvuuksia Internet Explorer -selainohjelmassa

Kohde:	- työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- ilman kirjautumista - etäkäyttö	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys - ongelman rajoittaminen	Lisätietoja

Microsoft Internet Explorer -selainohjelmasta on löydetty uusia vakavia haavoittuvuuksia. Haavoittuvuuksia hyväksikäyttämällä hyökkääjä voi suorittaa omia komentoja kohdetietojärjestelmässä. Haavoittuvuuksien hyväksikäyttö on mahdollista www-sivun ja mahdollisesti html-muotoisen sähköpostin välityksellä. Haavoittuvuuksille on olemassa julkisesti saatavilla olevia hyödyntämismenetelmiä. Haavoittuvuuksia on myös aktiivisesti hyväksikäytetty.

HAAVOITTUVAT OHJELMISTOT:

Internet Explorer -selainohjelman versio 6.0, mahdollisesti myös muut IE-versiot.

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuva ohjelmisto valmistajan ohjeiden mukaan:

http://www.microsoft.com/technet/security/bulletin/ms04-025.mspx

Korjaustiedosto kotitietojärjestelmään on ladattavissa myös osoitteesta:

http://windowsupdate.microsoft.com/

Haavoittuvuuksien hyväksikäyttöä voidaan myös rajoittaa poistamalla selaimelta käytöstä active-scripting (aktiiviset komentosarjat) ja ActiveX -ominaisuudet tai käyttämällä vaihtoehtoista selainohjelmistoa.

Lisätietoa Local Machine vyöhykkeen turva-asetusten konfiguroinnista on saatavilla Microsoft Knowledge Base artikkelista 833633:

http://support.microsoft.com/default.aspx?scid=833633

LISÄTIETOA:

http://www.microsoft.com/technet/security/bulletin/ms04-025.mspx

http://secunia.com/advisories/11793/

http://www.kb.cert.org/vuls/id/713878

http://support.microsoft.com/default.aspx?scid=833633

CAN-2004-0549 CAN-2004-0566 CAN-2003-1048

PÄIVITYSHISTORIA:

10.06.2004: Julkaistu
11.06.2004: Lisätty suositus ActiveX-ominaisuuden käytöstä poistamisesta sekä lisätty maininta Microsoft Knowledge Base artikkelista 833633.
19.10.2004: Lisätty tietoa haavoittuvuuksiin liittyvistä korjaustiedostoista

Sivua päivitetty 27.07.2007

Tulostusversio