Heinäkuu

31.07.2007

Ohjelmistopäivitys korjaa Mozilla-haavoittuvuudet

CERT-FI julkaisi 27.7.2007 Mozilla-ohjelmistotuotteisiin liittyvän haavoittuvuusilmoituksen 088/2007. Nyt haavoittuvuusilmoituksessa kerrottuun URI-ongelmaan on saatavilla korjaus uuden ohjelmistoversion 2.0.0.6 muodossa. Ohjelmistoversio 2.0.0.6 korjaa myös toisen Mozilla tuotteista löydetyn haavoittuvuuden.

14.07.2007

Mobiiliviruksilta on helppo suojautua

CERT-FI on saanut viitteitä yksittäisistä mobiilivirushavainnoista Joensuun Ilosaarirockin kävijöiden keskuudessa. Saamiemme tietojen mukaan kyseinen virus on pyrkinyt leviämään Bluetooth-yhteyden ja multimediaviestien välityksellä. Viruksen käyttäytyminen viittaa jo muutama vuosi sitten ensimmäisen kerran havaittuun CommWarrior-virukseen. Jos festivaalikävijä ei ole vastaanottanut ja sen jälkeen asentanut puhelimeensa mitään ohjelmia festivaalien aikana, mitään pelkoa tartunnasta ei ole.

Mobiilivirukset tarttuvat vain niin sanottuihin älypuhelimiin. Mobiilivirustartunnoilta on useimmiten helppo suojautua. Pitämällä Bluetooth-yhteyden suljettuna tai näkymätön-tilassa, Bluetoothin välityksellä tarttuvat virukset eivät pääse mobiililaitteeseen. Pääsääntöisesti Bluetooth-yhteys kannattaa käynnistää vain silloin, kun on aikeissa siirtää tiedostoja ja yhteys on hyvä sammuttaa tiedostonsiirtojen valmistuttua. Ei myöskään kannata hyväksyä sellaisia Bluetooth-tiedostonsiirtoja, joiden alkuperästä ei ole täysin varma. Jos puhelimessa Bluetooth on päällä ja näkyvissä-tilassa sekä lähistöllä on Bluetooth-yhteyden kautta leviävän mobiiliviruksen saastuttama laite, puhelimeen tulee usein jatkuvia tiedostonsiirtoyrityksiä ja tiedostonsiirron hylkäämistä seuraa välittömästi uusi ilmoitus siirrettäväksi tarjottavasta tiedostosta. Tässä tilanteessa helpointa on poistua paikalta Bluetoothin kantomatkan (useimmiten n. 10 - 20 metriä) ulkopuolelle, jolloin tiedostonsiirtoyritykset lakkaavat ja puhelimen Bluetooth-yhteyden voi asettaa pois päältä. Mikäli puhelimeen saapuu multimediaviesti, joka sisältää tuntemattoman tiedoston, on tiedoston avaamisessa hyvä käyttää suurta harkintaa erityisesti, jos kyseessä on puhelimeen asentuva ohjelma (puhelinmallista riippuen esimerkiksi .sis tai .cab -päätteinen tiedosto).

Pääsääntöisesti mitään Bluetooth-yhteyden kautta tai multimediaviestinä vastaanotettuja tiedostoja ei ole suositeltavaa asentaa puhelimeen, vaikka lähettäjä olisi tuttu, ellei ole täysin varma tiedoston alkuperästä. Nykyisin tunnetut mobiilivirukset eivät kykene tartuttamaan puhelinta, jos käyttäjä ei itse asenna niitä puhelimeensa.

Jos tartunta osuu kohdalle, varminta on viedä puhelin huoltoliikkeeseen tai käyttää mobiililaitteille tarkoitettuja virustorjuntaohjelmistoja. Myös internetistä löytyy hyviä ohjeita mobiilivirusten poistamiseen, mutta tällöin poistettavana oleva virus on itse tunnistettava ja ohjeiden seuraaminen vaatii hieman syvällisempää osaamista.

14.07.2007

Oracle julkaisee ensi tiistaina tietoturvapäivityksiä

Oracle julkaisee neljännesvuosittaiset tietoturvapäivityksensä eri Oracle-ohjelmistoihin tiistaina 17.7.2007. Päivitys sisältää korjauksia kaikkiaan 46 haavoittuvuuteen. Korkeimman CVSS-peruspistearvon (base score) omaavat haavoittuvuudet ovat etukäteistietojen mukaan Oracle PeopleSoft Enterprise -tuotteissa. Kyseisiä haavoittuvuuksia vastaava CVSS-peruspistearvo on 4,8.

12.07.2007

Poikkeuksellisen runsaasti korjauksia ohjelmistohaavoittuvuuksiin

Kuluvan viikon alkupuoliskolla on julkaistu poikkeuksellisen paljon korjauksia laajalti käytetyistä ohjelmistoista löytyneisiin haavoittuvuuksiin. Microsoft-päivitysten lisäksi on julkaistu tärkeitä tietoturvapäivityksiä muun muassa Ciscon, Adoben, McAfeen, Applen ja Sunin ohjelmistoihin.

Yritysten tietohallinnon kannalta lyhyen ajan sisällä julkaistavat päivitykset saattavat olla positiivinen asia, sillä useita päivityksiä saadaan testattua ja asennettua samalla kerralla. Kotikäyttäjien päivitystyötä tämä ei valitettavasti helpota. CERT-FI kehottaa kaikkia tietokoneiden käyttäjiä huolehtimaan ohjelmistojen ajantasaisuudesta silloinkin, kun useita ohjelmistopäivityksiä julkaistaan lyhyen ajan sisällä.

09.07.2007

CERT-FI uusi PGP-avaimensa 6.7.2007

CERT-FI siirtyi käyttämään uusia PGP-avaimia 6.7.2007 alkaen kuten 29.6.2007 julkaistussa Tietoturva nyt!-artikkelissa ilmoitettiin. Vanhat avaimet ovat poistuneet käytöstä eikä niitä käytetä enää tiedotteiden allekirjoittamiseen tai viestintään.

Uudet avaimet ovat saatavilla osoitteessa http://www.cert.fi/palvelut/yhteystiedot/rooliavaimet.html ja julkisilla avainpalvelimilla.

06.07.2007

Microsoft julkaisee ensi tiistaina tietoturvapäivityksiä

Microsoft julkaisee tiistaina 10. heinäkuuta kuusi tietoturvapäivitystä, joista kolme korjaa korkeimmalta vakavuusluokitukseltaan kriittisen haavoittuvuuden. Neljä päivityksistä koskee Windows-käyttöjärjestelmää tai sen komponentteja ja kaksi Office-ohjelmistoja. Tällä hetkellä ei ole tiedossa vaativatko päivitykset järjestelmän uudelleenkäynnistyksen. CERT-FI tulee julkaisemaan päivityksistä myös haavoittuvuustiedotteet.

CERT-FI suosittelee päivittämään haavoittuvat ohjelmistot heti päivitysten tultua saataville. Helpoin tapa päivitysten asentamiseen on automaattinen päivityspalvelu. Microsoftin päivityspalvelu löytyy osoitteesta:

http://update.microsoft.com

03.07.2007

PHP-pohjaiset palvelut hyökkäyksien kohteena

Viime viikonloppuna suomalaisten www-palveluntarjoajien palvelimia kaapattiin ja sivustoja töhrittiin. Usein www-palvelimien kaappaukset suoritetaan PHP-ohjelmointikielessä tai jossain PHP-sovelluksessa olevaa haavoittuvuutta hyväksikäyttämällä. PHP-ohjelmointikielestä löydetään uusia haavoittuvuuksia melko usein. Muun muassa Month of PHP Bugs -kampanjassa löydettiin 44 PHP-ohjelmointikieleen suoraan tai välillisesti liittyvää haavoittuvuutta. Haavoittuvuuksia on löytynyt myös tämän haavoittuvuuskuukausikampanjan jälkeen.

PHP-projekti julkaisee uusia pääversioita PHP4 ja PHP5 -tuotteista verrattain harvoin, jolloin korjaukset tulevat saataville vasta haavoittuvuuksien julkistamisen jälkeen. Lisäksi monet käyttöjärjestelmäjakelijat ja eräät muut tahot tarjoavat PHP:ta valmiiksi paketoituina versioina. Nämä paketit eivät kuitenkaan aina ole uusinta pääversiota, jolloin uusimpien korjausten saaminen viivästyy entisestään. Tosin esimerkiksi Linux-jakelijat saattavat tehdä itse korjauksia tarjoamiinsa paketteihin, jolloin osa haavoittuvuuksista tulee paikatuksi sitä kautta.

Tuorein ja vähiten julkaistuja haavoittuvuuksia sisältävä versio PHP:sta on PHP-projektin CVS-järjestelmästä löytyvä kehitysversio. Tämä versio saattaa kuitenkin olla epävakaa ja se on itse käännettävä lähdekoodeista, jolloin päivittäminen on tavallista työläämpää. PHP:n tietoturvallinen käyttäminen www-palvelimilla ja kolmansien osapuolten PHP-sovellusten ajaminen julkisessa www-palvelussa on haastavaa ja vaatii palveluntarjoajalta syventymistä asiaan. PHP-sovellukset on suositeltavaa eristää palvelimien käyttöjärjestelmästä ja toisistaan ajamalla niitä omissa virtuaalikoneissaan tai rajoittaa www-palveluprosessin oikeuksia käyttöjärjestelmässä.

Muun muassa Hardened PHP -projekti tarjoaa työkaluja PHP:n ja PHP-sovellusten tietoturvallisuuden parantamiseen.

03.07.2007

CERT-FI tietoturvakatsaus 2/2007 on ilmestynyt

Palvelunestohyökkäykset nousivat otsikoihin vuoden toisella neljänneksellä. CERT-FI:n tietoturvakatsaus 2/2007 kertoo loppukevään tärkeimmistä tietoturvatapahtumista.

02.07.2007

Sähköpostinvälityspalvelimien PTR-tietueet ja roskapostisuodatus

CERT-FI:n tietoon on tullut joidenkin ulkomaisten sähköpostipalveluntarjoajien käytäntö olla ottamatta vastaan sähköpostia sellaisilta sähköpostinvälityspalvelimilta (MTA, Mail Transfer Agent), joiden IP-osoitetta ei voi selvittää nimeksi (nimipalvelussa ei ole validia PTR-tietuetta). Edellä mainitulla käytännöllä sähköpostipalveluntarjoajat pyrkivät vähentämään vastaanotetun roskapostin määrää. Tämä saattaa aiheuttaa sähköpostiviestien suodattumista myös asiallisten sähköpostiviestien osalta silloin kun sähköpostiviestejä välitetään PTR-tietueettomista IP-osoitteista edellä mainittua suodatusmekanismia käyttäville sähköpostipalveluntarjoajille. Asiallisten sähköpostiviestien suodattumisriskiä voi pienentää määrittämällä sähköpostia välittävien palvelinten PTR-tietueet asianmukaisiksi.