CERT-FI haavoittuvuustiedote 110/2008

9.9.2008

Haavoittuvuus Microsoftin GDI+ rajapinnassa


Kohde:	- palvelimet ja palvelinsovellukset - työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- etäkäyttö	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen - palvelunestohyökkäys	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys - ongelman rajoittaminen	Lisätietoja

GDI+ on ohjelmistojen ja kehittäjien käyttämä kirjasto kaksiulotteisen grafiikan asemointi ja esittämiseen, joka toimitetaan Windowsin ja useiden ohjelmistojen mukana. Rajapinnasta on löytynyt viisi haavoittuvuutta, jotka koskevat vml, emf, gif, wmf ja bmp -tiedostomuotoja ja ohjelmistojen tapaa käsitellä niitä. Haavoittuvuudet on Microsoftin mukaan luokiteltu korkeimmilta tärkeysluokiltaan kriittisiksi.

Haavoittuvuutta voidaan hyväksikäyttää suoraan verkon yli antamalla käyttäjälle tietyllä tavalla muokattu kuvatiedosto. Haavoittuvuudet voivat mahdollistaa hyökkääjän omien komentojen suorittamisen kohdejärjestelmässä

HAAVOITTUVAT OHJELMISTOT:

Useita Microsoft-käyttöjärjestelmäversioita, sovelluksia ja selainversioita. Katso tarkemmat versiot microsoftin haavoittuvuustiedotteesta.
Kolmansien osapuolten tuotteet, joiden mukana levitetään GDI+ -rajapinta

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Haavoittuvuuden vaikutuksia voidaan rajoittaa rajoittamalla haavoittuvien tiedostomuotojen käyttöä tai poistamalla GDI+ rajapinnan käyttö kokonaan. Rajapinnan yleisyyden vuoksi rajoitusten käyttöönotto voi olla hankalaa.

Kolmansien osapuolten ohjelmistojen mukana voidaan myös levittää haavoittuvia versioita GDI+ rajapinnasta. Nämä ohjelmat oletusarvoisesti käyttävät omien asennustensa versioita rajapinnasta, ja tällöin myös nämä versiot tulee päivittää. Voi olla myös mahdollista, että kolmannen osapuolen ohjelmisto asentaa oman versionsa GDI+ -rajapinnasta Windows-version päälle, ja tällöin päivitys GDI+:aan voidaan joutua mahdollisesti asentamaan uudelleen.

LISÄTIETOA:

PÄIVITYSHISTORIA:

9.9.2008, kello 21.45: Julkaistu

Sivua päivitetty 09.09.2008

Tulostusversio