CERT-FI haavoittuvuustiedote 080/2010

11.5.2010

Microsoftin toukokuun päivitykset

Kohde:	- työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- paikallisesti	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Microsoft on julkaissut kaksi tiedotetta, joiden kaksi ohjelmistopäivitystä korjaavat haavoittuvuuksia Outlook Express-, Windows Live Mail- ja Windows Mail -sovelluksissa sekä Microsoft Visual Basic for Applications -ympäristössä. Molemmat tiedotteet on luokiteltu Microsoftin mukaan kriittisiksi.

Ensimmäinen tiedote (MS10-030):

CVE-2010-0816

Tämä tiedote liittyy Windows-käyttöjärjestelmien mukana tulevaan Outlook Express -sovelluksen ja erikseen asennettavien Windows Live Mail- ja Windows Mail- sovelluksien POP3- ja IMAP-protokollien käsittelyyn. Haavoittuvuuden avulla hyökkääjän voi olla mahdollista suorittaa kohdejärjestelmässä haluamaansa ohjelmakoodia houkuttelemalla käyttäjä hallinnoimalleen sähköpostipalvelimelle.

Toinen tiedote (MS10-031):

CVE-2010-0815

Tämän tiedotteen päivitys korjaa tavallisesti Microsoft Office -sovelluksissa käytetyn Microsoft Visual Basic for Applications- ympäristöstä löytyneen haavoittuvuuden. Haavoittuvuus ei koske Office-sovelluksen versioita Mac OS X -käyttöjärjestelmälle. Haavoittuvuuden avulla hyökkääjän voi olla mahdollista suorittaa kohdejärjestelmässä haluamaansa ohjelmakoodia houkuttelemalla käyttäjä avaamaan tietyllä tavalla muokattu tiedosto.

HAAVOITTUVAT OHJELMISTOT:

• Microsoft Outlook Express 5.5 Service Pack 2
• Microsoft Outlook Express 6 Service Pack 1
• Windows Live Mail
• Windows Mail
• Office XP Service Pack 3
• Office 2003 Service Pack 3
• 2007 Microsoft Office System Service Pack 1 ja Service Pack 2
  

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuvat ohjelmistot valmistajan ohjeiden mukaisesti. Helpoin tapa päivittää Microsoft-järjestelmät on käyttää Microsoftin automaattista päivitystyökalua.

LISÄTIETOA:

• http://www.microsoft.com/technet/security/bulletin/ms10-may.mspx
• http://www.microsoft.com/technet/security/Bulletin/MS10-030.mspx
• http://www.microsoft.com/technet/security/Bulletin/MS10-031.mspx
• CVE-2010-0815
• CVE-2010-0816
• http://blogs.technet.com/srd/archive/2010/05/11/ms10-030-malicious-mail-server-vulnerability.aspx
• http://blogs.technet.com/srd/archive/2010/05/11/ms10-031-vbe6-single-byte-stack-overwrite.aspx
  

PÄIVITYSHISTORIA:

11.5.2010, kello 20.15: Julkaistu

Sivua päivitetty 12.05.2010

Tulostusversio