Joulukuu

27.12.2004

Oracle ja DB2 -tietokantaohjelmistojen haavoittuvuudet

CERT-FI julkaisi syyskuussa Oracle-tietokantaohjelmistosta löydetyistä haavoittuvuuksista varoituksen 60/2004 ja IBM DB2 -tietokantaohjelmistosta löydetyistä haavoittuvuuksista 63/2004. Näistä haavoittuvuuksista on nyt julkaistu yksityiskohtaisia tietoja, mikä oleellisesti helpottaa haavoittuvuuksien hyväksikäyttömenetelmien kehittämistä. CERT-FI suosittelee vielä päivittämättömien tietokantaohjelmistojen välitöntä päivittämistä.

CERT-FI on päivittänyt varoituksia 60 ja 63.

27.12.2004

PHP-haavoittuvuuksia hyväksikäyttävät haittaohjelmat

PhpBB-haavoittuvuutta hyväksikäyttävien Santy-haittaohjelmien lisäksi on ilmestynyt myös PHP-ohjelmoinnissa yleisesti tehtyä ns. "File Inclusion" -virhettä hyväksikäyttävä haittaohjelma. "File Inclusion" -ohjelmointivirhettä hyväksikäyttävää haittaohjelmaa kutsutaan mm. nimillä Santy.e ja PhpInclude.Worm. Ohjelmointivirhe on palvelimen PHP-versiosta riippumaton.

Lisätietoja yleisistä PHP-ohjelmointikieleen liittyvistä ohjelmointivirheistä löytyy osoitteesta:

http://www.devshed.com/c/a/PHP/PHP-Security-Mistakes/

CERT-FI on julkaissut phpBB-ohjelmiston haavoittuvuudesta varoituksen 86/2004.

22.12.2004

Santy-haittaohjelma leviää

Santy-niminen phpBB-ohjelmiston haavoittuvuutta hyväksikäyttävä haittaohjelma leviää. Santy-haittaohjelma saastuttaa ainoastaan web-palvelimia, joissa on asennettuna phpBB-ohjelmiston haavoittuva versio. Haavoittuvia phpBB-ohjelmistoversioita ovat 2.0.10 ja sitä aiemmat versiot. Haittaohjelma töhrii saastuttamiensa web-palvelimien www-sivuja.

CERT-FI suosittelee haavoittuvien tietojärjestelmien välitöntä päivittämistä versioon 2.0.11, joka suojaa Santy-haittaohjelman hyväksikäyttämältä haavoittuvuudelta.

CERT-FI on julkaissut phpBB-ohjelmiston haavoittuvuudesta varoituksen 86/2004.

14.12.2004

Microsoft on julkaissut viisi uutta turvatiedotetta

Microsoft on julkaissut viisi uutta turvatiedotetta, jotka liittyvät WordPad-ohjelmistossa, DHCP-palvelimessa, HyperTerminal-ohjelmistossa, Windows Kernelissä ja LSASS-palvelussa sekä WINS-palvelussa oleviin haavoittuvuuksiin. Haavoittuvuudet Microsoftin tuotteissa vaihtelevat eri Windows-käyttöjärjestelmäversion mukaan.

CERT-FI on julkaissut Microsoft-ohjelmistojen haavoittuvuuksista varoituksen 88/2004, joka liittyy Microsoft Windows WINS-palvelusta löydettyihin haavoittuvuuksiin. Muista Microsoftin julkaisemista haavoittuvuuksista on saatavilla lisätietoja sekä korjaustiedostoja alla olevista osoitteista:

http://www.microsoft.com/technet/security/bulletin/MS04-041.mspx
http://www.microsoft.com/technet/security/bulletin/MS04-042.mspx
http://www.microsoft.com/technet/security/bulletin/MS04-043.mspx
http://www.microsoft.com/technet/security/bulletin/MS04-044.mspx

Kotitietojärjestelmien käyttäjät voivat päivittää haavoittuvat tietojärjestelmät osoitteesta:
http://windowsupdate.microsoft.com

14.12.2004

Sähköiset joulutervehdykset saattavat sisältää haitallista koodia

Joulun odotukseen kuuluvat perinteisesti sähköisessä muodossa lähetetyt joulutervehdykset. Osa näistä tervehdyksistä voi olla esim. suoraan liitettyinä HTML-muotoiseen sähköpostiviestiin, saapua vastaanottajalle liitetiedostona tai ne voivat sisältää linkin, jonka takaa kyseinen joulutervehdys viestin mukaan löytyy.

On huomioitavaa, että hyökkääjä voi sijoittaa esim. joulutervehdyksen sisältämään sähköpostiviestin liitetiedostoon tai tervehdyksen sisältämälle www-sivulle haitallista koodia. Sähköisten joulutervehdysten lähettäjien olisi syytä kiinnittää huomiota käyttämänsä palvelun luotettavuuteen. Sähköisten joulutervehdysten vastaanottajien on puolestaan hyvä suhtautua tervehdyksiin aivan kuten mihin tahansa "tuntemattomalta lähettäjältä" saapuvaan sähköpostiin eli esim. virustarkastaa sähköpostin sisältämät liitetiedostot ennen niiden avaamista sekä tarvittaessa kirjoittaa käsin viestin sisältämä linkki Internet-selainohjelmaan.

Zafi.D-mato on yksi esimerkki joulun alla leviämisensä aloittaneesta haittaohjelman sisältämästä joulutervehdyksestä. CERT-FI on tehnyt Zafi.D:stä varoituksen 87/2004.

01.12.2004

Microsoft WINS -haavoittuvuus

WINS (Windows Internet Naming Service) palvelua käytetään mm. NetBIOS-nimien ja IP-osoitteiden välisen muunnoksen tekemiseen. WINS-palvelusta on löydetty haavoittuvuus, mikä mahdollistaa hyökkääjän omien komentojen suorittamisen kohdejärjestelmässä. Haavoittuvuus koskee Windows-käyttöjärjestelmän palvelinversioita.

Hyväksikäyttöä rajoittavista menetelmistä on kerrottu Microsoftin julkaisemassa artikkelissa:

http://support.microsoft.com/kb/890710

CERT-FI suosittelee kaikkien tarpeettomien palveluiden poistamista käytöstä.