CERT-FI haavoittuvuustiedote 158/2007

13.11.2007

Päivitys saatavilla Microsoft Windows -ohjelmistoihin


Kohde:	- palvelimet ja palvelinsovellukset - työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- ilman kirjautumista - etäkäyttö - ilman käyttäjän toimia	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen - tietojen muokkaaminen - luottamuksellisen tiedon hankkiminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Microsoft on julkaissut marraskuun ohjelmistopäivitykset Microsoft Windows -käyttöjärjestelmän eri versioille. Mukana on korjaus yhteen kriittiseksi luokiteltuun ja yhteen tärkeäksi luokiteltuun haavoittuvuuteen.

Päivitys MS07-061 korjaa haavoittuvuuden, joka koskee Windows XP ja Windows Server 2003 -järjestelmien Shell32.dll-komponentin tapaa käsitellä sille syötettyjä URI:ja. Haavoittuvuus kohdistuu Windows XP ja Windows Server 2003 -järjestelmiin, joihin on asennettu Internet Explorer 7. Haavoittuvuus mahdollistaa koodin suorittamisen kohdejärjestelmässä järjestelmään kirjautuneen käyttäjän käyttöoikeustasolla. Haavoittuvuutta hyväksikäyttääkseen hyökkääjän täytyy saada haavoittuva järjestelmä käsittelemään tietyllä tavalla muotoiltu URI. Tämä voi tapahtua esimerkiksi houkuttelemalla käyttäjä avaamaan tietyllä tavalla muotoilun URI:n sisältävä tiedosto tai www-sivu. Microsoft on luokitellut haavoittuvuuden vakavuusluokitukseltaan kriittiseksi.

Päivitys MS07-062 korjaa haavoittuvuuden, joka koskee Windows 2000 Server ja Windows Server 2003 -järjestelmien Windows DNS Server -palvelua. Haavoittuvuus liittyy Windows DNS Server -nimipalvelun tapaan tuottaa rekursiivisten DNS-kyselyjen sarjanumerot ennalta-arvattavalla tavalla. Arvaamalla kyselyjen sarjanumeroita, hyökkääjän on mahdollista huijata ohjelmisto luulemaan hyökkääjän lähettämien vastauspakettien olevan vastauksia Windows DNS Server -ohjelmiston tekemiin kyselyihin. Tällä tavoin hyökkääjä voi saada nimipalvelimen tuottamaan väärää tietoa sisältäviä vastauksia. Microsoft on luokitellut haavoittuvuuden vakavuusluokitukseltaan tärkeäksi.

HAAVOITTUVAT OHJELMISTOT:

Windows XP, Windows 2000 Server, Windows Server 2003

Tarkemmat tiedot haavoittuvista ohjelmistoversioista on saatavilla valmistajan julkaisemista tiedotteista.

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuvat ohjelmistot valmistajan ohjeen mukaisesti. Helpoin tapa päivitysten asentamiseen on automaattinen päivityspalvelu.

http://update.microsoft.com

LISÄTIETOA:

PÄIVITYSHISTORIA:

13.11.2007, kello 20.10: Julkaistu

Sivua päivitetty 13.11.2007

Tulostusversio