CERT-FI haavoittuvuustiedote 124/2010

10.8.2010

Microsoft julkaisi korjauspaketissaan neljätoista tietoturvatiedotetta

Kohde:	- palvelimet ja palvelinsovellukset - työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- paikallisesti - ilman kirjautumista - etäkäyttö - ilman käyttäjän toimia	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen - käyttövaltuuksien laajentaminen - tietojen muokkaaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys - ongelman rajoittaminen	Lisätietoja

Microsoft on julkaissut neljätoista tiedotetta, joiden 34 ohjelmistopäivitystä korjaavat haavoittuvuuksia Windows-käyttöjärjestelmässä, Office-sovellusperheessä, Internet Explorer -sovelluksessa ja .NET-ympäristössä. Kahdeksan tiedotteista on luokiteltu Microsoftin mukaan kriittisiksi.

Ensimmäinen tiedote (MS10-049):
CVE-2010-2566
CVE-2009-3555

Tämä tiedotteen päivitykset korjaavat kaksi haavoittuvuutta Secure Channel (SChannel) -tietoturvakomponetissa. Ensimmäinen haavoittuvuus liittyy TLS/SSL-suojatun yhteyden uudelleen neuvotteluun. Sitä hyväksikäyttämällä hyökkääjän voi olla mahdollista syöttää istunnon alkuun omaa sisältöään selväkielisenä. Haavoittuvuutta ei voi hyväksikäyttää IIS-palvelimen versiossa 6 tai tätä myöhemmissä versioissa salasanatodennuksen ollessa käytössä, koska niissä asiakaspään aloittama uudelleenneuvottelu on kielletty. Toisen haavoittuvuuden avulla hyökkääjän voi olla mahdollista suorittaa kohdejärjestelmässä haluamaansa ohjelmakoodia houkuttelemalla käyttäjä hallinnoimalleen www-postipalvelimelle ja lähettämällä käyttäjän selaimelle räätälöimänsä asiakasvarmennepyyntö.

Toinen tiedote (MS10-051):
CVE-2010-2561

Tämä tiedote liittyy Microsoft XML Core Services -ympäristön HTTP-protokollan käsittelyyn. Haavoittuvuuden avulla hyökkääjän voi olla mahdollista suorittaa kohdejärjestelmässä haluamaansa ohjelmakoodia houkuttelemalla käyttäjä hallinnoimalleen www-palvelimelle.

Kolmas tiedote (MS10-052):
CVE-2010-1882

Tämä tiedote koskee Microsoft MPEG Layer-3 -audiokoodekkeja. Haavoittuvuuden avulla hyökkääjän voi olla mahdollista suorittaa kohdejärjestelmässä haluamaansa ohjelmakoodia käyttäjän oikeuksin, jos käyttäjä avaa tietyllä tavalla muotoillun mediatiedoston tai -striimin.

Neljäs tiedote (MS10-053):
CVE-2010-2557
CVE-2010-2560
CVE-2010-2556
CVE-2010-2558
CVE-2010-2559
CVE-2010-1258

Tämän tiedotteen päivitykset korjaavat kuusi haavoittuvuutta Internet Explorer -selaimessa. Vakavimman haavoittuvuuden avulla hyökkääjän voi olla mahdollista suorittaa kohdejärjestelmässä haluamaansa ohjelmakoodia käyttäjän oikeuksin, jos käyttäjä vierailee hänen hallinnoimallaan www-palvelimella.

Viides tiedote (MS10-054):
CVE-2010-2550
CVE-2010-2551
CVE-2010-2552

Tiedotteen päivitykset koskevat Windows-käyttöjärjestelmän SMB-pakettien käsittelyä. Vakavimman haavoittuvuuden avulla hyökkääjän voi olla mahdollista suorittaa haluamaansa ohjelmakoodia lähettämällä tietyllä tavalla muotoiltu SMB-paketti kohdejärjestelmälle.

Kuudes tiedote (MS10-055):
CVE-2010-2553

Tiedote liittyy Cinepak-koodekkiin. Siitä löytynyttä haavoittuvuutta voidaan hyväksikäyttää houkuttelemalla käyttäjä avaamaan mediatiedosto tai -striimi ja suorittaa täten ohjelmakoodia käyttäjän oikeuksin.

Seitsemäs tiedote (MS10-056):
CVE-2010-1900
CVE-2010-1901
CVE-2010-1902
CVE-2010-1903

Tämän tiedotteen päivitykset korjaavat neljä haavoittuvuutta Word-sovelluksessa. Vakavimman haavoittuvuuden avulla hyökkääjän voi olla mahdollista suorittaa haluamaansa ohjelmakoodia käyttäjän oikeuksin, jos käyttäjä avaa tai esikatselee hyökkääjän RTF-muotoisen sähköpostin.

Kahdeksas tiedote (MS10-060):
CVE-2010-0019
CVE-2010-1898

Tiedote liittyy Microsoft .NET Framework- ja Microsoft Silverlight -ympäristöihin. Haavoittuvuuksien avulla hyökkääjän voi olla mahdollista suorittaa kohdejärjestelmässä haluamaansa ohjelmakoodia käyttäjän oikeuksin, jos käyttäjä vierailee hänen hallinnoimallaan www-palvelimella ja käyttäjän selain pystyy ajamaan XAML (XBAPs) -selainsovelluksia. Haavoittuvuuksia voidaan hyväksikäyttää myös IIS-palvelimella, jos ASP.NET-sivujen suorittaminen on sallittua palvelimella ja hyökkääjä pystyy lataamaan palvelimelle räätälöimiään sivuja.

Yhdeksäs tiedote (MS10-047):
CVE-2010-1888
CVE-2010-1889

Tiedote koskee Windows-käyttöjärjestelmää. Vakavin haavoittuvuuksista saattaa mahdollistaa sisäänkirjautuneelle käyttäjälle käyttäjäoikeuksien laajentamisen suorittamalla haavoittuvuutta hyväksikäyttävää ohjelmakoodia.

Kymmenes tiedote (MS10-048):
CVE-2010-1894
CVE-2010-1895
CVE-2010-1896
CVE-2010-1897

Tämän tiedotteen päivitykset korjaavat viisi haavoittuvuutta Windows-käyttöjärjestelmän ydintilan (kernel-mode) ajureissa. Vakavin haavoittuvuuksista saattaa mahdollistaa sisäänkirjautuneelle käyttäjälle käyttäjäoikeuksien laajentamisen suorittamalla haavoittuvuutta hyväksikäyttävää ohjelmakoodia.

Yhdestoista tiedote (MS10-050):
CVE-2010-2564

Päivitys korjaa haavoittuvuuden Windows Movie Maker-sovelluksessa. Haavoittuvuuden avulla hyökkääjän voi olla mahdollista suorittaa kohdejärjestelmässä haluamaansa ohjelmakoodia käyttäjän oikeuksin, jos käyttäjä avaa tietyllä tavalla muotoillun Movie Maker-projektitiedoston.

Kahdestoista tiedote (MS10-057):
CVE-2010-2562

Päivitys korjaa haavoittuvuuden Excel-sovelluksessa. Haavoittuvuuden avulla hyökkääjän voi olla mahdollista suorittaa kohdejärjestelmässä haluamaansa ohjelmakoodia käyttäjän oikeuksin, jos käyttäjä avaa tietyllä tavalla muotoillun Excel-tiedoston.

Kolmastoista tiedote (MS10-058):
CVE-2010-1893
CVE-2010-2893

Tiedote liittyy Windows-käyttöjärjestelmän TCP/IP-pinoon. Kummatkin haavoittuvuudet saattaavat mahdollistaa sisäänkirjautuneelle käyttäjälle haluamansa ohjelmakoodin suorittamisen syteemitason oikeuksin.

Neljästoista tiedote (MS10-059):
CVE-2010-2555

Päivitys korjaa kaksi haavoittuvuutta palveluitten seuraamiseen tarkoitetussa Tracing-toiminnallisuudessa. Kummatkin haavoittuvuuksista saattavat mahdollistaa sisäänkirjautuneelle käyttäjälle käyttäjäoikeuksien laajentamisen suorittamalla haavoittuvuutta hyväksikäyttävää ohjelmakoodia.

Päivitys 13.8.2010: Microsoft julkaisi lisäksi korjauspäivityksen Windows Service Isolation-ominaisuuteen, jonka avulla Windows-palvelujen oikeuksia käyttöjärjestelmän resursseihin voidaan rajata tarkemmin. Ominaisuus ei ole käytössä oletusasennuksessa. Päivitys korjaa tilanteen, jossa Windows Service Isolation -ominaisuuden rajoituskeinot voidaan ohittaa. Päivitys korjaa lisäksi rajoituskeinoihin liittyvän Windows Telephony Application Programming Interfaces (TAPI)-rajapinnan haavoittuvuuden (CVE-2010-1886), jonka avulla kirjautuneen hyökkääjän voi olla mahdollista laajentaa käyttövaltuuksiaan. Microsoft ei luokittele päivitystä tietoturvapäivitykseksi.

HAAVOITTUVAT OHJELMISTOT:

• Microsoft Windows XP kaikki tuetut versiot
• Microsoft Office XP, 2003 ja 2007
• Microsoft Office 2004 for Mac ja Office 2008 for Mac
• Microsoft Internet Explorer 6, 7 ja 8
• Microsoft .NET Framework 3.5 ja 2.0
• Microsoft Movie Maker 2.1
• Microsoft XML Core Services 3.0
• Microsoft Silverlight 2 ja 3

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuvat ohjelmistot valmistajan ohjeiden mukaisesti. Helpoin tapa päivittää Microsoft-järjestelmät on käyttää Microsoftin automaattista päivitystyökalua.

LISÄTIETOA:

• http://www.microsoft.com/technet/security/bulletin/ms10-aug.mspx
• http://blogs.technet.com/b/srd/archive/2010/08/10/assessing-the-risk-of-the-august-security-updates.aspx
• http://blogs.technet.com/b/srd/archive/2010/08/10/ms10-054-exploitability-details-for-the-smb-server-update.aspx
• http://blogs.technet.com/b/srd/archive/2010/08/10/ms10-049-an-inside-look-at-cve-2009-3555-the-tls-renegotiation-vulnerability.aspx
• http://blogs.technet.com/b/srd/archive/2010/08/10/ms10-048-an-explanation-of-the-defense-in-depth-fixes.aspx
• http://blogs.technet.com/b/srd/archive/2010/08/10/ms10-049-a-remote-code-execution-vulnerability-in-schannel-cve-2010-2566.aspx
• http://www.microsoft.com/technet/security/Bulletin/MS10-047.mspx
• http://www.microsoft.com/technet/security/Bulletin/MS10-048.mspx
• http://www.microsoft.com/technet/security/Bulletin/MS10-049.mspx
• http://www.microsoft.com/technet/security/Bulletin/MS10-050.mspx
• http://www.microsoft.com/technet/security/Bulletin/MS10-051.mspx
• http://www.microsoft.com/technet/security/Bulletin/MS10-052.mspx
• http://www.microsoft.com/technet/security/Bulletin/MS10-053.mspx
• http://www.microsoft.com/technet/security/Bulletin/MS10-054.mspx
• http://www.microsoft.com/technet/security/Bulletin/MS10-055.mspx
• http://www.microsoft.com/technet/security/Bulletin/MS10-056.mspx
• http://www.microsoft.com/technet/security/Bulletin/MS10-057.mspx
• http://www.microsoft.com/technet/security/Bulletin/MS10-058.mspx
• http://www.microsoft.com/technet/security/Bulletin/MS10-059.mspx
• http://www.microsoft.com/technet/security/Bulletin/MS10-060.mspx
• Päivitys 13.8.2010: http://www.microsoft.com/technet/security/advisory/2264072.mspx CVE-2010-1886
• http://nvd.nist.gov/nvd.cfm?cvename=CVE-2010-2566
• http://nvd.nist.gov/nvd.cfm?cvename=CVE-2009-3555
• http://nvd.nist.gov/nvd.cfm?cvename=CVE-2010-2561
• http://nvd.nist.gov/nvd.cfm?cvename=CVE-2010-1882
• http://nvd.nist.gov/nvd.cfm?cvename=CVE-2010-2557
• http://nvd.nist.gov/nvd.cfm?cvename=CVE-2010-2560
• http://nvd.nist.gov/nvd.cfm?cvename=CVE-2010-2556
• http://nvd.nist.gov/nvd.cfm?cvename=CVE-2010-2558
• http://nvd.nist.gov/nvd.cfm?cvename=CVE-2010-2559
• http://nvd.nist.gov/nvd.cfm?cvename=CVE-2010-1258
• http://nvd.nist.gov/nvd.cfm?cvename=CVE-2010-2550
• http://nvd.nist.gov/nvd.cfm?cvename=CVE-2010-2551
• http://nvd.nist.gov/nvd.cfm?cvename=CVE-2010-2552
• http://nvd.nist.gov/nvd.cfm?cvename=CVE-2010-2553
• http://nvd.nist.gov/nvd.cfm?cvename=CVE-2010-1900
• http://nvd.nist.gov/nvd.cfm?cvename=CVE-2010-1901
• http://nvd.nist.gov/nvd.cfm?cvename=CVE-2010-1902
• http://nvd.nist.gov/nvd.cfm?cvename=CVE-2010-1903
• http://nvd.nist.gov/nvd.cfm?cvename=CVE-2010-0019
• http://nvd.nist.gov/nvd.cfm?cvename=CVE-2010-1898
• http://nvd.nist.gov/nvd.cfm?cvename=CVE-2010-1888
• http://nvd.nist.gov/nvd.cfm?cvename=CVE-2010-1889
• http://nvd.nist.gov/nvd.cfm?cvename=CVE-2010-1894
• http://nvd.nist.gov/nvd.cfm?cvename=CVE-2010-1895
• http://nvd.nist.gov/nvd.cfm?cvename=CVE-2010-1896
• http://nvd.nist.gov/nvd.cfm?cvename=CVE-2010-1897
• http://nvd.nist.gov/nvd.cfm?cvename=CVE-2010-2564
• http://nvd.nist.gov/nvd.cfm?cvename=CVE-2010-2562
• http://nvd.nist.gov/nvd.cfm?cvename=CVE-2010-1893
• http://nvd.nist.gov/nvd.cfm?cvename=CVE-2010-1892
• http://nvd.nist.gov/nvd.cfm?cvename=CVE-2010-2555

PÄIVITYSHISTORIA:

10.8.2010, kello 23.45: Julkaistu
11.8.2010, kello 11.35: Lisätty linkkejä
13.8.2010, kello 17.08: Lisätty tieto Windows Service Isolation-korjauksesta

Sivua päivitetty 13.08.2010

Tulostusversio