Marraskuu

29.11.2006

Haavoittuvuus Crystal Reports -ohjelmistossa

Yleisesti Business Intelligence -sovelluksena käytetyn Crystal Reports -ohjelmiston web-käyttöliittymästä on löydetty istuntotunnisteina käytettyjen evästeiden arvattavuuteen liittyvä haavoittuvuus. Päättelemällä oikean evästeen sisällön hyökkääjä voi kaapata todennetun istunnon Crystal Reports -palvelimelle.

Haavoittuvuus koskee Crystal Reports -ohjelmistoja Crystal Enterprise 9 ja Crystal Enterprise 10. Haavoittuvuuden korjaava Hot Fix -päivitys julkaistiin 9.7.2006.

29.11.2006

Haavoittuvuus F-Secure -ohjelmistoissa

F-Securen Anti-Virus for Microsoft Exchange ja F-Secure Internet Gatekeeper -ohjelmistojen web-hallintakäyttöliittymästä on löydetty OpenSSL-haavoittuvuus. Jos hyökkääjällä on pääsy haavoittuvaan web-hallintakäyttöliittymään, palvelunestohyökkäykset, käyttöliittymän kaatuminen tai puskuriylivuotohyökkäykset ovat mahdollisia.

Oletusarvoisesti web-hallintakäyttöliittymään on pääsy vain palvelimen konsolilta. Pääsy voidaan mahdollistaa myös palvelimen ulkopuolelta, jolloin hyökkäykset ovat mahdollisia kohdejärjestelmässä.

29.11.2006

Haavoittuvuus GnuPG-ohjelmistossa

GnuPG on yleisesti käytetty OpenPGP-standardia tukeva salausohjelmisto. GnuPG:n versioissa 2.0.0 ja 1.4.5 on havaittu puskurinylivuoto tiedostojen käsittelyrutiineissa. Haavoittuvuus voi mahdollistaa hyökkääjän ohjelmakoodin suorittamisen käyttäjän oikeuksilla avattaessa vihamielisesti laadittuja tiedostoja. Haavoittuvuus ei ole ilmeisesti hyödynnettävissä käytettäessä GnuPG-ohjelmistoa liitettynä sähköpostiohjelmistoon.

Haavoittuvuuteen on olemassa tällä hetkellä vain lähdekooditason korjaus.

21.11.2006

Haittaohjelmaa levitetty CERT-FI:n nimissä

Tietojemme mukaan viimeisintä Warezov-haittaohjelman versiota on levitetty tänään aamusta alkaen CERT-FI:n nimissä. Roskaposteissa voi lähettäjäkentässä olla myös muiden osoitteiden lisäksi osoite cert@ficora.fi. Kyseiset lähettäjäosoitteet ovat kuitenkin väärennettyjä, ja CERT-FI suosittelee kyseisten viestien välitöntä poistamista. Tiedossamme ei ole lähetettyjen viestien lukumäärää eikä vastaanottajia.

Sähköpostissa on mukana liitetiedosto, jota ei pidä missään nimessä avata. Liitetiedoston nimi on yleensä Update-KB****-x86.zip, missä neljä tähteä ovat satunnaisia numeroita.

16.11.2006

Useita haavoittuvuuksia työasemasovelluksissa

Yleisesti käytettyihin työasemasovelluksiin on julkaistu useita haavoittuvuuksia, joista osa on vakavia.

Sun Java Runtime Environment -ohjelmistoista on löydetty haavoittuvuus, jonka avulla voidaan joissain tilanteissa ohittaa tiedon suojauksia. Java Runtime Environment -ohjelmistoa käytetään yleisesti muun muassa selainliitännäisenä näyttämään vuorovaikutteisia web-sivuja. Haavoittuvuus koskee Sun Javan Solaris-, Linux- ja Windows-versioita, joihin valmistaja on julkaissut päivitykset. Päivityksen asennuksen yhteydessä tietokoneelta kannattaa poistaa vanhemmat Sun Java-versiot, joita päivitys ei välttämättä itse poista.

WinZip-pakkausohjelman versiosta 10 on löytynyt haavoittuvuus, jonka WinZip Computing on luokitellut kriittiseksi. Haavoittuvuus liittyy ohjelman mukana levitettävään ActiveX-komponenttiin, ja käyttämällä sitä hyväksi hyökkääjän on mahdollista suorittaa kohdejärjestelmässä omia komentojaan. Koneidensa päivittämisestä huolehtineet ovat haavoittuvuudelta suojassa, sillä tiistain Windows-päivitys MS06-067 estää kyseisen ActiveX-komponentin toiminnan. WinZip-käyttäjien tulisi silti päivittää ohjelmisto uusimpaan versioon valmistajan ohjeiden mukaisesti. Haavoittuvuuteen on julkistettu hyväksikäyttömenetelmä.

Adobe Flash Player -ohjelmistosta on löytynyt väärennettyjen yhteyksien hyödyntämisen mahdollistava haavoittuvuus. Haavoittuvuus koskee ohjelmiston uusimpia versioita Windows- ja Mac OS X -käyttlöjärjestelmissä. Flash Player -käyttäjien on suositeltavaa päivittää ohjelmisto uusimpaan versioon tai poistaa se toiminnasta. Windows-käyttäjiä varoitettiin samasta päivityksestä tiistain Microsoft-päivitysten yhteydessä.

14.11.2006

Haavoittuvuuskuukauden tilanne

Marraskuun aikana on julkaistu päivittäin käyttöjärjestelmien ytimiä koskevia haavoittuvuuksia. Tähänastisista haavoittuvuuksista seitsemän on liittynyt Linux-, Solaris- ja FreeBSD-käyttöjärjestelmien tiedostojärjestelmien käsittelyyn ja kolme langattomien verkkokorttien ajureihin. Windows-käyttöjärjestelmän Broadcom-verkkokorttiajuria vastaan on myös julkistettu hyväksikäyttömenetelmä. Windows-käyttäjien on suositeltavaa hakea päivitykset Broadcom- sekä D-Link DWL-G132 -langattomiin verkkokortteihin mahdollisuuksien mukaan.

14.11.2006

Microsoft julkaisee tänään useita tärkeitä tietoturvapäivityksiä

Microsoft tulee julkaisemaan tämän illan aikana kuusi päivitystä. Päivitykset koskevat Windows-käyttöjärjestelmien perustoimintoja ja Internet Explorer -selainta. Päivityksistä viisi on merkitty kriittisiksi ja ainakin yhtä kohtaan esiintyy aktiivista hyväksikäyttöä. CERT-FI tulee julkistamaan päivityksistä myös varoituksen.

CERT-FI suosittelee päivittämään haavoittuvat ohjelmistot ensi tilassa. Helpoin tapa päivitysten asentamiseen on Microsoftin päivityspalvelu osoitteessa:

http://update.microsoft.com

03.11.2006

PHP-ohjelmointikielen versio 5.2.0 on julkaistu

PHP on useilla www-sivustoilla käytössä oleva avoimen lähdekoodin ohjelmointikieli. PHP-ohjelmointikielestä on julkaistu uusi versio, 5.2.0, jossa on korjattu lukuisia haavoittuvuuksia. Lisätietoja uudesta versiosta ja päivittämisestä on saatavilla osoitteesta:

http://www.php.net/releases/5_2_0.php

02.11.2006

Uusi haavoittuvuus julkaisuun päivittäin

HD Moore on luvannut julkaista yhden käyttöjärjestelmien ytimiä koskevan haavoittuvuuden joka päivä koko marraskuun ajan. Tieto on saatavilla Mooren ylläpitämästä internet-blogista, jossa hän julkaisee myös yksityiskohtaisempaa tietoa löytämistään haavoittuvuuksista.

Eilen julkaistu ensimmäinen haavoittuvuus koskee Applen Airport ajureita. Haavoittuvuutta hyväksikäyttämällä hyökkääjän voi olla mahdollista suorittaa kohdetietojärjestelmässä omia komentojaan.