CERT-FI haavoittuvuustiedote 066/2009

28.7.2009

Haavoittuvuuksia Internet Explorer -selaimessa ja Microsoft Active Template Library -kirjastossa

Kohde:	- työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- etäkäyttö	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Microsoft on julkaissut normaalin päivitysaikataulun ulkopuolisia korjauksia Internet Explorer-selaimeen ja Microsoft Visual Studio-ohjelmistoon.

Ensimmäinen päivitys (MS09-035):CVE-2009-0901 CVE-2009-2493 CVE-2009-2495Visual Studion Microsoft Active Template Library (ATL) -kirjastosta on löytynyt haavoittuvuuksia. Kirjastoa käyttävät komponentit ja kontrollit voivat olla haavoittuvia. Yksi haavoittuvuuksista mahdollistaa ns. kill bit -toiminnallisuuden kiertämisen, jolloin hyökkääjä voi ladata haavoittuvia ActiveX-kontrolleja niiden suorittamisen kieltämisestä huolimatta.

Päivitys on luokiteltu kohtalaisen tärkeäksi.

Toinen päivitys (MS09-034):CVE-2009-1917 CVE-2009-1918 CVE-2009-1919

Internet Explorer-selaimeen on julkaistu päivitys, joka estää MS09-34-päivityksen kuvaamien haavoittuvien kontrollien hyväksikäytön selaimessa. Tämän lisäksi selaimesta korjataan kolme haavoittuvuutta, joita hyökkääjä voi hyväksikäyttää houkuttelemalla käyttäjä avaamaan räätälöimänsä sivu. Onnistuneen hyväksikäytön seurauksena käyttäjän järjestelmässä suoritetaan hyökkääjän haluamia komentoja.

Päivitys on luokiteltu kriittiseksi ja vaatii järjestelmän uudelleenkäynnistyksen.

HAAVOITTUVAT OHJELMISTOT:

• Internet Explorer 5.01, 6, 7 ja 8
• kaikki tuetut Microsoft Visual Studion versiot

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuvat ohjelmistot valmistajan ohjeiden mukaisesti. Helpoin tapa päivittää Microsoft-järjestelmät on käyttää Microsoftin automaattista päivitystyökalua.

LISÄTIETOA:

• http://www.microsoft.com/technet/security/advisory/973882.mspx
• http://www.microsoft.com/technet/security/bulletin/ms09-034.mspx
• http://www.microsoft.com/technet/security/bulletin/ms09-035.mspx
• http://blogs.technet.com/srd/archive/2009/07/28/overview-of-the-out-of-band-release.aspx
• http://blogs.technet.com/srd/archive/2009/07/28/atl-vulnerability-developer-deep-dive.aspx
• http://blogs.technet.com/msrc/archive/2009/07/28/microsoft-security-advisory-973882-microsoft-security-bulletins-ms09-034-and-ms09-035-released.aspx
• http://blogs.technet.com/srd/archive/2009/07/28/internet-explorer-mitigations-for-atl-data-stream-vulnerabilities.aspx
• http://blogs.technet.com/srd/archive/2009/07/28/msvidctl-ms09-032-and-the-atl-vulnerability.aspx

PÄIVITYSHISTORIA:

28.7.2009, kello 22.54: Julkaistu

Sivua päivitetty 28.07.2009

Tulostusversio