CERT-FI haavoittuvuustiedote 019/2010

4.2.2010

Internet Explorer -selaimen paikkaamaton haavoittuvuus

Kohde:	- työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- ilman kirjautumista - etäkäyttö	Lisätietoja
Hyväksikäyttö:	- luottamuksellisen tiedon hankkiminen - suojauksen ohittaminen	Lisätietoja
Ratkaisu:	- ongelman rajoittaminen - ei päivitystä tai rajoitusmenetelmää	Lisätietoja

Microsoft Internet Explorer -selaimesta on löydetty haavoittuvuus, joka mahdollistaa tietojen lukemisen paikalliselta kiintolevyltä käyttäjän vieraillessa hyökkäystarkoituksessa tehdyllä web-sivulla.

Haavoittuvuudessa käytetään hyväksi selaimen file:// -protokollan toteutuksen puutteellista suojausta, joka mahdollistaa paikallisten tiedostojen lukemisen käyttäjän kiintolevyltä, jos tiedoston nimi ja tallennuspaikka tunnetaan.

Haavoittuvuus toimii vain, jos selainta ei ajeta suojatussa tilassa (protected mode). Suojattu tila on oletuksena Windows Vista-, Windows Server 2008-, Windows 7-, ja Windows Server 2008 -käyttöjärjestelmissä.

HAAVOITTUVAT OHJELMISTOT:

• Microsoft Internet Explorer 5.x
• Microsoft Internet Explorer 6.x
• Microsoft Internet Explorer 7.x
• Microsoft Internet Explorer 8.x
• Microsoft Windows 2000 Service Pack 4
• Microsoft Windows XP Service Pack 3
• Microsoft Windows XP Service Pack 2
• Microsoft Windows XP Professional x64 Edition Service Pack 2
• Microsoft Windows Vista x64 Edition Service Pack 2
• Microsoft Windows Vista x64 Edition Service Pack 1
• Microsoft Windows Vista x64 Edition
• Microsoft Windows Vista Service Pack 2
• Microsoft Windows Vista Service Pack 1
• Microsoft Windows Vista
• Microsoft Windows Server 2008 R2 (x64)
• Microsoft Windows Server 2008 R2 (Itanium)
• Microsoft Windows Server 2008 (x64) Service Pack 2
• Microsoft Windows Server 2008 (x64)
• Microsoft Windows Server 2008 (Itanium) Service Pack 2
• Microsoft Windows Server 2008 (Itanium)
• Microsoft Windows Server 2008 (32-bit) Service Pack 2
• Microsoft Windows Server 2008 (32-bit)
• Microsoft Windows Server 2003 x64 Edition Service Pack 2
• Microsoft Windows Server 2003 SP2 (Itanium)
• Microsoft Windows Server 2003 Service Pack 2
• Microsoft Windows 7 (x64)
• Microsoft Windows 7 (32-bit)

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Haavoittuvuuteen ei ole julkaistu korjausta. Selaimen ajaminen suojatussa tilassa estää haavoittuvuuden hyväksikäytön.

LISÄTIETOA:

• http://www.microsoft.com/technet/security/advisory/980088.mspx
• http://support.microsoft.com/kb/980088
• http://isc.sans.org/diary.html?storyid=8152
• CVE-2010-0255

PÄIVITYSHISTORIA:

4.2.2010, kello 15.05: Julkaistu

Sivua päivitetty 04.02.2010

Tulostusversio