Background Print only logo
Viestintäviraston etusivulle
Etusivu | Varoitukset | Tietoturva nyt! | Haavoittuvuudet | Ohjeet | Katsaukset | Palvelut | Esitykset |

CERT-FI

PL 313
00181 Helsinki
Puh: 09 6966 510
Fax: 09 6966 515

Salausavaimet

Viestintävirasto

Itämerenkatu 3 A
00180 HELSINKI
Puh: 09 6966 500
Fax: 09 6966 410

Tarkat yhteystiedot

Tietoa evästeistä

CERT-FI Facebookissa

 Etusivu > Haavoittuvuudet > 2006 > CERT-FI haavoittuvuustiedote 055/2006

CERT-FI haavoittuvuustiedote 055/2006

Palvelimet ja palvelinsovellukset Työasemat ja loppukäyttäjäsovellukset Verkon aktiivilaitteet Matkaviestimet Sulautetut järjestelmät Muut

10.10.2006

Haavoittuvuuksia Windowsin XML-käsittelyssä

     
Kohde: - palvelimet ja palvelinsovellukset
- työasemat ja loppukäyttäjäsovellukset
Lisätietoja
Hyökkäystapa: - ilman kirjautumista
- etäkäyttö
Lisätietoja
Hyväksikäyttö: - komentojen mielivaltainen suorittaminen
- luottamuksellisen tiedon hankkiminen
Lisätietoja
Ratkaisu: - korjaava ohjelmistopäivitys
- ongelman rajoittaminen
Lisätietoja

Microsoft Windows -käyttöjärjestelmän XML Core Services ja XML Parser -komponenteista on löydetty kaksi haavoittuvuutta, jotka voivat mahdollistaa luottamuksellisten tietojen paljastumisen tai mielivaltaisen koodin suorittamisen kohdejärjestelmässä. Vakavampi haavoittuvuuksista on Microsoftin mukaan luokiteltu kriittiseksi ja se liittyy XSLT-tyylitiedostojen käsittelyyn.

HAAVOITTUVAT OHJELMISTOT:

Haavoittuvuudet ovat hyväksikäytettävissä seuraavilla käyttöjärjestelmillä käyttäjän käsitellessä XML-tiedostoon liittyvää haittatarkoituksissa laadittua XSLT-tyylitiedostoa:

  • Microsoft Windows 2000 Service Pack 4
  • Microsoft Windows XP Service Pack 1 ja Service Pack 2
  • Microsoft Windows XP Professional x64 Edition
  • Microsoft Windows Server 2003
  • Microsoft Windows Server 2003 Service Pack 1
  • Microsoft Windows Server 2003 SP1 Itanium-arkkitehtuurille
  • Microsoft Windows Server 2003 x64 Edition

XSLT-tiedostot voi tunnistaa päätteestä '.xsl'. Esimerkki niiden XML-muodosta löytyy MSDN-artikkelista "Sample XSLT File for ASP XSLT Processor Objects".

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Haavoittuvuudet koskevat XML Parser -komponentin versiota 2.6 ja XML Core Services -komponentin versioita 3.0 ja 5.0 (Windows Server 2003). Korjaavat ohjelmistopäivitykset voi ladata Windowsin päivitystyökalulla. Helpoin tapa päivitysten asentamiseen on Microsoftin päivityspalvelu:

http://update.microsoft.com

Haavoittuvuutta voi rajoittaa muuttamalla Internet Explorer -selaimen suojausasetukset korkeaksi. Katso tarkemmat ohjeet Microsoftin turvaohjeesta.

LISÄTIETOA:

    PÄIVITYSHISTORIA:

    10.10.2006: Julkaistu

    Sivua päivitetty 11.03.2007   Tulostusversio Tulostusversio