CERT-FI haavoittuvuustiedote 076/2010

30.4.2010

XSS-haavoittuvuus Microsoft Sharepointissa

Kohde:	- palvelimet ja palvelinsovellukset	Lisätietoja
Hyökkäystapa:	- etäkäyttö	Lisätietoja
Hyväksikäyttö:	- käyttövaltuuksien laajentaminen	Lisätietoja
Ratkaisu:	- ongelman rajoittaminen	Lisätietoja

Microsoft Sharepointista on löytynyt XSS-tyyppinen haavoittuvuus. Haavoittuvuuden avulla hyökkääjä voi suorittaa kohdejärjestelmässä esimerkiksi javascriptiä järjestelmään kirjautuneen käyttäjän oikeustasolla. Haavoittuvuutta voidaan hyväksikäyttää lähettämällä sähköpostia käyttäjälle joka on kirjautuneena Sharepoint-järjestelmään ja houkuttelemalla käyttäjä avaamaan hyökkääjän muotoilema linkki.

HAAVOITTUVAT OHJELMISTOT:

• Microsoft Office SharePoint Server 2007 Service Pack 1
• Microsoft Office SharePoint Server 2007 Service Pack 1
• Microsoft Windows SharePoint Services 3.0 Service Pack 1
• Microsoft Windows SharePoint Services 3.0 Service Pack 2
  

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Haavoittuvuudelle ei ole julkaistu korjausta. Haavoittuvuuden vaikutuksia voi kuitenkin rajoittaa kieltämällä pääsyn help.aspx -tiedostoon Sharepoint-palvelimella Microsoftin ohjeiden mukaisesti.

LISÄTIETOA:

• http://www.microsoft.com/technet/security/advisory/983438.mspx
• http://blogs.technet.com/srd/archive/2010/04/29/sharepoint-xss-issue.aspx
• CVE-2010-0817
  

PÄIVITYSHISTORIA:

30.4.2010, kello 15.18: Julkaistu

Sivua päivitetty 30.04.2010

Tulostusversio