CERT-FI haavoittuvuustiedote 056/2006

10.10.2006

Haavoittuvuuksia Microsoft Office -ohjelmistoissa

Kohde:	- työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- ilman kirjautumista - etäkäyttö - ilman käyttäjän toimia	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Microsoft Office -ohjelmistoista on löydetty useita vakavia haavoittuvuuksia, jotka voivat mahdollistaa mielivaltaisen koodin suorittamisen kohdejärjestelmässä. Microsoft on luokitellut haavoittuvuudet Office 2000 -ohjelmistoissa kriittisiksi. Muissa Office-versiossa luokituksena on vakava, sillä ne varoittavat käyttäjää mahdollisesta hyväksikäytöstä vihamielistä tiedostoa avattaessa.

Haavoittuvuutta voidaan hyväksikäyttää tietyllä tavalla muokatulla Office-dokumentilla. Muokattu dokumentti voidaan välittää haavoittuvalle ohjelmistolle esimerkiksi sähköpostin liitetiedostona tai www-sivuston kautta.

Eräästä tässä varoituksessa käsitellystä Powerpoint-ohjelmiston haavoittuvuudesta on tiedotettu aikaisemmassa Tietoturva nyt -artikkelissa 28.9.2006.

HAAVOITTUVAT OHJELMISTOT:

• Microsoft PowerPoint 2000, 2002 ja 2003
• Microsoft Word 2000, 2002 ja 2003
• Microsoft Excel 2000, 2002 ja 2003
• Microsoft Access 2000, 2002 ja 2003
• Microsoft FrontPage 2000, 2002 ja 2003
• Microsoft Outlook 2000, 2002 ja 2003
• Microsoft Publisher 2000, 2002 ja 2003
• Microsoft Visio 2002 ja 2003
• Microsoft Office 2004 for Mac
• Microsoft Office v. X for Mac
• Microsoft Works Suite 2004
• Microsoft Works Suite 2005
• Microsoft Works Suite 2006
• Microsoft Word 2003 Viewer
• Microsoft Excel 2003 Viewer
• Microsoft InfoPath 2003
• Microsoft OneNote 2003
• Microsoft Project 2000, 2002 ja 2003

Tarkemmat versiotiedot ovat saatavilla valmistajan julkaisemista tietoturvatiedotteista MS06-058, MS06-059, MS06-060 ja MS06-062. Huomaa, että ohjelmistot vaativat versiosta riippuen eri Service Pack- tai Service Release -pakettien asennuksen ennen päivityksiä.

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Haavoittuvuuksiin on saatavilla korjaavat ohjelmistopäivitykset, jotka voi ladata Windowsin päivitystyökalulla. Helpoin tapa päivitysten asentamiseen on Microsoftin päivityspalvelu:

http://update.microsoft.com

LISÄTIETOA:

http://www.microsoft.com/technet/security/Bulletin/MS06-058.mspx
http://www.microsoft.com/technet/security/Bulletin/MS06-059.mspx
http://www.microsoft.com/technet/security/Bulletin/MS06-060.mspx
http://www.microsoft.com/technet/security/Bulletin/MS06-062.mspx

CVE-2006-3435 CVE-2006-3876 CVE-2006-3877 CVE-2006-4694
CVE-2006-2387 CVE-2006-3431 CVE-2006-3867 CVE-2006-3875
CVE-2006-3647 CVE-2006-3651 CVE-2006-4534 CVE-2006-4893
CVE-2006-3434 CVE-2006-3650 CVE-2006-3864 CVE-2006-3868

PÄIVITYSHISTORIA:

10.10.2006: Julkaistu

Sivua päivitetty 11.03.2007

Tulostusversio