CERT-FI haavoittuvuustiedote 164/2007

19.11.2007

Haavoittuvuus Microsoft Jet Database Engine -ohjelmistossa


Kohde:	- työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- ilman kirjautumista - etäkäyttö	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen - palvelunestohyökkäys	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Microsoft Jet Database Engine -ohjelmistosta on löydetty muistin ylivuotohaavoittuvuus, jota hyväksikäyttämällä hyökkääjän saattaa olla mahdollista aiheuttaa haavoittuvassa järjestelmässä palvelunestohyökkäys tai suorittaa siinä omia komentojaan haavoittuvaa sovellusta käyttävän käyttäjän käyttöoikeustasolla. Haavoittuvuus liittyy Microsoft Jet Database Engine -ohjelmiston msjet40.dll -kirjastoon. Haavoittuvuutta voi hyväksikäyttää houkuttelemalla hyökkäyksen kohde avaamaan tietyllä tavalla muotoiltu MDB-formaatissa oleva tiedosto haavoittuvaa msjet40.dll -kirjastoversiota käyttävällä ohjelmistolla. Hyväksikäyttö voi tapahtua esimerkiksi suoraan haavoittuvaa msjet40.dll -versiota käyttävää Microsoft Access -ohjelmistoa käyttäen tai Microsoft Word -ohjelmiston välityksellä siten, että käyttäjä avaa Microsoft Word -dokumentin, joka lataa käyttäjän työasemalle tallennetun tietyllä tavalla muotoillun MDB-muotoisen tiedoston haavoittuvaa msjet40.dll-versiota käyttäen. Jälkimmäisessä tapauksessa hyväksikäyttöön tarvitaan kaksi tiedostoa. Microsoft Word -dokumentin kautta ladattavan MDB-tiedoston ei tarvitse olla .mdb-päätteinen vaan sen tiedostopääte voi olla mikä tahansa, esimerkiksi .doc. Haavoittuvuuteen on olemassa julkinen hyväksikäyttömenetelmä.

HAAVOITTUVAT OHJELMISTOT:

Microsoft Jet Database Engine versiot ennen versiota 4.0.9505.0

Microsoft Jet Database Engine -ohjelmistoa käytetään muun muassa Microsoft Office Access -ohjelmistoissa, joten haavoittuvuus vaikuttaa myös joihinkin Microsoft Office Access -versioihin. Lisäksi Microsoft Word -dokumenttien välityksellä on mahdollista ladata saman työaseman kovalevyllä oleva MDB-tiedosto. Tässä tapauksessa MDB-tiedoston ei tarvitse olla .mdb-päätteinen. Hyväksikäyttö on mahdollista seuraavissa Microsoft Word -versioissa, kun käytössä on Windows 2000, Windows XP tai Windows Server 2003 SP1 -käyttöjärjestelmä:

Microsoft Word 2000 Service Pack 3
Microsoft Word 2002 Service Pack 3
Microsoft Word 2003 Service Pack 2
Microsoft Word 2003 Service Pack 3
Microsoft Word 2007
Microsoft Word 2007 Service Pack 1

Haavoittuvuus ei kuitenkaan kosketa Microsoft Officen Windows Server 2003 Service Pack 2, Windows Vista ja Windows Vista Service Pack 1 -versioiden käyttäjiä. Lisätietoja saa seuraavasta Microsoftin tiedotteesta:

http://www.microsoft.com/technet/security/advisory/950627.mspx

Mahdollinen hyökkäysskenaario on kuvattu seuraavassa artikkelissa:

http://www.avertlabs.com/research/blog/index.php/2008/03/21/microsoft-jet-database-engine-attacked-through-word/

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuva ohjelmisto valmistajan ohjeiden mukaisesti:

http://www.microsoft.com/technet/security/bulletin/MS08-028.mspx

Ongelmaa voi rajoittaa olemalla avaamatta mahdollisesti epäluotettavista lähteistä peräisin olevia .mdb-tiedostoja ja .doc tiedostoja joiden mukana on tullut toinen tiedosto.