CERT-FI haavoittuvuustiedote 072/2004

13.10.2004

Haavoittuvuuksia Internet Explorer -selaimessa


Kohde:	- työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- etäkäyttö	Lisätietoja
Hyväksikäyttö:	- tietojen muokkaaminen - luottamuksellisen tiedon hankkiminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Microsoft on julkaissut Internet Explorer -selaimeen korjauspäivityksen, mikä korjaa kahdeksan uutta haavoittuvuutta. Osa haavoittuvuuksista on luokiteltu kriittisiksi.

Haavoittuvuuksista viisi mahdollistaa hyökkääjän omien komentojen suorittamisen kohdejärjestelmässä. Näistä haavoittuvuuksista kaksi on puskuriylivuotoja, yksi liittyy koodin suorittamiseen virheellisesti paikallisessa turvavyöhykkeessä ja kaksi virheellisesti tapahtuvaan suoritettavan ohjelmatiedoston tallentamiseen kohdejärjestelmään.

Kaksi muuta haavoittuvuutta liittyy käyttäjälle näkyvän sivuston osoitteen (URL) muokkaamiseen. Näitä haavoittuvuuksia hyväksikäyttämällä hyökkääjän on mahdollista väärentää selainikkunan osoiterivillä näkyvä sivuston osoite.

Viimeinen haavoittuvuus liittyy IE:n tapaan tallentaa välimuistiin SSL-suojatun sivuston sisältö. Tätä haavoittuvuutta hyväksikäyttämällä hyökkääjän voi olla mahdollista päästä käsiksi käyttäjän SSL-suojatulle sivustolle syöttämiin tietoihin tai väärentää käyttäjälle näkyvän SSL-suojatun sivuston sisältö.

Kaikkia haavoittuvuuksia voidaan hyväksikäyttää hyökkääjän muokkaaman www-sivun välityksellä. Osaa haavoittuvuuksista voidaan hyväksikäyttää myös tietyllä tavalla muokatun HTML-sähköpostin välityksellä.

Useita edellä mainituista haavoittuvuuksista on aktiivisesti hyväksikäytetty. CERT-FI suosittelee haavoittuvan selaimen välitöntä päivittämistä.