 |
| Etusivu |  |
Varoitukset | |
Tietoturva nyt! | |
Haavoittuvuudet | |
Ohjeet | |
Katsaukset | |
Palvelut | |
Esitykset | |
CERT-FIPL 313 ViestintävirastoItämerenkatu 3 A |
LokakuuTästä aiheesta löytyy myös RSS-syöte 09.11.2007 SQL injection -hyökkäysten havaitseminenCERT-FI:n tietoon tulee ajoittain niin sanotulla SQL injection -tekniikalla suoritettuja hyökkäyksiä. Kyseinen hyökkäystekniikka on ollut tiedossa jo pitkään, mutta sovelluksista löytyy vielä nykyäänkin haavoittuvuuksia, joita hyväksikäyttämällä voidaan syöttää www-käyttöliittymän takana olevalle tietokannalle SQL-kielisiä komentolauseita. Näissä hyökkäyksissä pyrkimyksenä on usein hankkia luottamuksellisia tietoja tai muuttaa tietokannassa olevia tietoja. Myös muita pahantahtoisia pyrkimyksiä yritetään toteuttaa SQL injection -haavoittuvuuksia hyödyntämällä. SQL injection -haavoittuvuuksien etsimiseen on olemassa useita ilmaisia työkaluja. Merkkejä SQL injection -haavoittuvuuksien hyödyntämisyrityksistä voi etsiä esimerkiksi www-palvelimen lokeista. Tämä tapahtuu etsimällä lokista HTTP-pyyntöjä, joissa pyydetty URI sisältää yhden tai useampia seuraavista:
Lisäksi varsinaisten SQL-komentojen (SELECT, UPDATE, ALTER, CREATE, INSERT, DROP, UNION jne.) ja loogisten operaattoreiden (AND, OR) esiintyminen voi olla merkki hyväksikäyttöyrityksistä. Myös puolipistettä (;, %3B, ...) voi etsiä, mutta niitä esiintyy usein myös täysin normaaleissa HTTP-kyselyissä. Uhan aiheuttavat merkit ja merkkijonot riippuvat käytetystä tietokantasovelluksesta, tietokannan rakenteesta ja nimeämiskäytännöistä. Etsittäessä merkkijonoja lokeista ei kannata tehdä eroa isojen ja pienten kirjainten välille. On myös hyvä huomioida, että tutkittavalla HTTP-palvelimella ajettavasta sovelluksesta riippuen osa löydöksistä saattaa olla vääriä hälytyksiä, mutta osaava ja palvelimella käytetyn sovelluksen tunteva ylläpitäjä tunnistaa nämä helposti. 26.10.2007 Varo roskapostin mukana tulevia PDF-tiedostojaPäivittämättömien Adobe Acrobat -ohjelmistojen haavoittuvuutta hyödyntäviä, haittaohjelman latauskomponentin sisältäviä PDF-tiedostoja levitetään roskapostiviestien liitetiedostoina. Tavattuja haitallisten tiedostojen ovat ainakin
Muunkin nimisiä tiedostoja voi olla liikkeellä. Haittaohjelman sisältämien viestien otsikot ovat olleet mm. seuraavanlaisia:
Viestit liitetiedostoineen kannattaa poistaa niitä avaamatta. 23.10.2007 Adobe Acrobat -ohjelmistojen korjaus saatavillaAdobe on julkaissut korjaavan ohjelmistopäivityksen Acrobat-ohjelmistoihin. Ohjelmistoista löydettyä haavoittuvuutta hyödyntäviä PDF-tiedostoja levitetään aktiivisesti internetissä. Epämääräisistä lähteistä (esimerkiksi roskasähköpostiviestien liitetiedostot) vastaanotettujen tai löydettyjen PDF-dokumenttien avaamista tulee välttää. 23.10.2007 Salasanojen arvailua ssh-yhteyksilläCERT-FI:n tietoon on tullut, että internetiin kytkettyihin tietokoneisiin pyritään kirjautumaan ssh-yhteyksillä yleisesti käytössä oleviin käyttäjätunnuksiin (root, mysql) liittyviä salasanoja kokeilemalla. Yhteysyrityksiä tulee järjestelmällisesti ja hajautetusti monista eri IP-osoitteista. Ylläpitäjien tulisi varmistua siitä, että palvelimilla käytettävät salasanat ovat riittävän turvallisia. 22.10.2007 Pindorama-sisällönhallintajärjestelmän haavoittuvuuden hyväksikäytöstä merkkejäCERT-FI:n tietoon on tullut PHP-pohjaisesta Pindorama-sisällönhallintajärjelmästä löydetyn haavoittuvuuden hyväksikäyttöyrityksiä. CERT-FI:n arvion mukaan kyseessä on suomalaisella kielialueella verraten vähän käytetystä ohjelmasta. 20.10.2007 Uusi palvelunestohyökkäys www.cert.fi-sivustoa kohtaanPalvelunestohyökkäys CERT-FI:n www-sivustoa kohtaan on alkanut uudestaan. Hyökkäys saattaa aiheuttaa ajoittain hitautta Viestintäviraston verkkopalveluissa. Hyökkäys alkoi hieman ennen kello 18. Toimenpiteet haittaliikenteen vaikutusten minimoimiseksi on käynnistetty. 19.10.2007 Salasanatiedostotapaus - tilannepäivitys 19.10.On käynyt ilmi, että osa salasanatiedostotapauksen alkuvaiheessa julkisuuteen toimittamistamme hyödynnettyjä haavoittuvuuksia koskevista tiedoista oli puutteellisia tai jopa virheellisiä. Tapauksen tutkinnan myöhemmässä vaiheessa on osoittautunut, että aikaisemmin luultua useammassa tapauksessa on hyödynnetty muita kuin järjestelmän pohjana olevassa web-foorumisovelluksessa (CERT-FI:n mainitsemat phpBB, Wordpress, SMF) olleita haavoittuvuuksia. Useissa murtotapauksissa on mitä ilmeisimmin hyödynnetty ylläpitäjien itse kehittämissä lisäkomponenteissa tai kolmannen osapuolen tuottamissa komponenteissa olleita käyttäjän antaman syötteen puutteelliseen tarkistukseen liittyviä haavoittuvuuksia. Omien havaintojemme ja meille toimitettujen tietojen mukaan Suomesta löytyy kuitenkin lukuisia päivittämättömiä ja siksi haavoittuvia yhteisöpalveluohjelmistoja. Www-sovellusten säännöllinen päivittäminen uusimpaan julkaistuun versioon on tärkeää haavoittuvuusriskin minimoimiseksi. Aktiivisesti kehitettävien www-sovellusten uusimmissa versioissa on nykyään harvoin julkisesti tiedossa olevia haavoittuvuuksia. 18.10.2007 Ruotsissa murrettu ja muutettu www-sivustojaUutislähteiden mukaan Ruotsissa on viime päivinä nähty tavallista enemmän tapauksia, joissa www-sivustojen sisältöä on muutettu luvattomasti. Www-sivustojen töhrimistapaukset ovat itsessään varsin tavanomaisia ja tekijät tyypillisesti raportoivat tekoja zone-h -palvelun kautta. Näitä tapauksia tulee CERT-FI:n tietoon säännöllisesti. Myös suomalaisten sivustojen ylläpitäjien kannattaa varautua siihen, että ohjelmistojen korjaamattomia haavoittuvuuksia saatetaan käyttää hyväksi sivustoille murtautumisessa. Murtautumisriskiä voi pienentää tarkistamalla, että www-palvelinten, keskustelufoorumien ja muiden palvelujen asetukset ovat mahdollisimman turvalliset ja päivittämällä niiden ohjelmistot ajan tasalle. Sivustojen toimintaa ja sisältöä kannattaa myös seurata aktiivisesti. 18.10.2007 Salasanatiedostotapauksen poliisitutkinta eteniKeskusrikospoliisi on julkaissut tiedotteen salasanatiedostotapauksen tutkinnan etenemisestä. Poliisin tiedotteen mukaan tietomurtojen tutkinnassa on tehty pidätys. Verkkoyhteisöihin tunkeutumista tutkitaan rikosnimikkeillä tietomurto ja luvaton käyttö. Käyttäjätunnusten ja salasanojen julkaisemisen osalta rikosnimike on vaaran aiheuttaminen tietojenkäsittelylle. CERT-FI korostaa tietoturvallisuusnäkökulmien merkitystä yhteisöpalveluita ylläpidettäessä. CERT-FI kiittää kaikkia tapauksen johdosta CERT-FI -yksikköön yhteydessä olleita henkilöitä. 17.10.2007 Salasanatiedostotapaus - tilannepäivitys 17.10.Keskusrikospoliisi jatkaa tapauksen tutkintaa. Kehotamme yhteisöpalveluiden ylläpitäjiä, jotka epäilevät palvelunsa joutuneen tietomurron kohteeksi, olemaan yhteydessä Keskusrikospoliisiin ja CERT-FI-yksikköön. CERT-FI haluaa vielä kerran painottaa yhteisöpalveluiden ylläpitäjille asianmukaisten tietoturvapäivitysten ja turvallisuustarkastusten tarpeellisuutta. Myös yhteisöpalveluiden toteuttamisessa käytettyjen, varsinaisten yhteisöpalveluohjelmistopakettien ulkopuolisten, ohjelmistojen kohdalla on syytä kiinnittää huomiota turvallisuuteen. Jos palveluun toteutetaan lisäominaisuuksia tai sen ylläpidon apuna käytetään erillisiä ohjelmistoja, on tärkeää huolehtia, että myös nämä ohjelmistot on testattu riittävän tarkasti. On myös tärkeää varmistua siitä, että kyseisiä ohjelmistoja ylläpidetään sekä kehitetään aktiivisesti, jotta tietoturvapäivitykset tulevat saataville riittävän nopeasti. Näin saadaan pienennettyä riskiä siihen, että palveluun jossa itse yhteisöpalvelusovellus on turvallinen, jää helposti helposti hyödynnettävä "takaovi" murtautujille. Molemmilla, sekä yhteisöpalveluiden käyttäjillä että yhteisöpalveluiden ylläpitäjillä on suuri vastuu. Yhden suojaamatta jätetyn palvelun murtaminen saattaa pahimmillaan johtaa useisiin väärinkäytöstapauksiin, jos käyttäjät ovat käyttäneet samoja käyttäjätunnuksia ja salasanoja useassa palvelussa. 17.10.2007 Skype Defender varastaa käyttäjätunnuksia ja salasanojaSkype varoittaa Skype Defender -nimisen haittaohjelman leviämisestä. Ohjelma jäljittelee Skype-ohjelman kirjautumisikkunaa. Käyttäjän syötettyä käyttäjätunnuksensa ja salasanansa ohjelma näyttää virheilmoituksen väärästä salasanasta. Samalla se kuitenkin lähettää sekä syötetyt Skypen kirjautumistiedot että Internet Explorer -selainohjelmaan talletetut käyttäjätunnukset ja salasanat verkon kautta keräilypalvelimelle. Skype Defenderin voi poistaa työasemasta poistamalla sen ohjelmatiedoston 65404-SkypeDefenderSetup.exe. On huomattava, että ohjelmaa voidaan levittää myös muilla nimillä. Kuvia Skype Defenderin toiminnasta
15.10.2007 Lisäys murrettujen yhteisöpalvelujen luetteloonTäydennys aikaisempiin aihetta käsitelleisiin Tietoturva nyt! -artikkeleihin.
15.10.2007 Salasanatiedostotapaus - tilannepäivitys 15.10.Keskusrikospoliisi on julkaissut tapauksen johdosta tiedotteen. Pyydämme huomioimaan tiedotteen ohjeistuksen tapauksen ilmoitustavoista poliisiviranomaisille.Korjaavat päivitystoimet on aloitettu useissa tietomurron kohteeksi joutuneissa yhteisöpalveluissa. Olemme saaneet yhteisöpalvelujen ylläpitäjiltä ilmoituksia, joiden mukaan muista verkkkopalveluista kaapatut tunnus-salasanaparit ovat toimineet myös heidän palveluissaan. Tällaisten tapausten kohdalla ylläpitäjät ovat vaihtaneet salasanat tai ryhtyneet muihin toimenpiteisiin käyttäjätunnustietojen väärinkäytön ehkäisemiseksi. CERT-FI:n käsityksen mukaan haavoittuvilla phpBB, Wordpress ja SMF (Simple Machines Forum) -ohjelmistoversioilla toteutettuja yhteisöverkkopalveluita on käytössä vielä huomattava määrä Suomessa. Pyydämme verkkopalveluiden ylläpitäjiä mahdollisimman pikaisesti päivittämään palveluissa käytetyt ohjelmistot ja tekemään järjestelmissä perusteellisen turvallisuustarkastuksen. 15.10.2007 Epävirallinen korjaus tarjolla Microsoft-ohjelmistohaavoittuvuuteenMicrosoft Internet Explorer 7 -ohjelmistoa koskevaan ShellExecute -rutiinin haavoittuvuuteen on liikkeellä kolmannen osapuolen epävirallinen korjaustiedosto. Epävirallisten päivitysten asentamista järjestelmiin tulee aina harkita huolellisesti. Korjaustiedostojen toimivuutta ei useinkaan ole huolellisesti testattu eikä niiden lähteiden luotettavuudesta ole välttämättä täyttä varmuutta. Mahdollisiin päivittämisestä koituviin järjestelmän toimivuusongelmiin ei välttämättä ole saatavilla tukea. CERT-FI ei ole tutkinut kyseessä olevaa korjaustiedostoa. 15.10.2007 Mesenet.org -yhteisöpalvelu ajettu alas tietoturvapäivityksiä vartenKirjoitimme edellisessä Tietoturva nyt! -artikkelissa Mesenet-galleria -yhteisöpalvelun tietomurrosta. Vastaanotimme yön aikana palvelua ylläpitävältä Samiweb Solutions Oy:ltä viestin, jonka mukaan koko Mesenet-sivusto on päätetty ajaa alas päivityksiä varten.Rankka, mutta tietoturvanäkökulmasta todennäköisesti hyvin viisas päätös. Toivotamme CERT-FI:n puolesta koko Mesenet-yhteisölle pitkää pinnaa sekä tukea Mesenetin ylläpidolle tilanteen johdosta. Palvelun ylläpito on tehnyt ratkaisun suojellakseen palvelun käyttäjiä mahdollisesti palveluun kohdistuvilta uusilta tietomurroilta. 14.10.2007 Täydennys murrettujen yhteisöpalvelujen luetteloonAikaisempaan Tietoturva nyt! -artikkeliin lisäyksenä seuraavat verkkoyhteisöt:
14.10.2007 Salasanatiedostotapauksen tilanne sunnuntai-iltana 14.10Tässä sunnuntai-illan tilanne salasanatiedostotapauksen osalta:
Riippumatta siitä, onko oma sähköpostiosoite tai käyttäjätunnus esiintynyt kyseisessä tiedostossa, nyt on todella hyvä tilaisuus vaihtaa salasanat kaikkiin keskeisiin verkkopalveluihin. Ja tehdä vaihdosta vaikkapa jokakuukausinen tapa.
Jos käyttämäsi verkkkopalvelu tukee turvallisempien todentamismenetelmien (esimerkiksi HST-varmenne) käyttöä, pyri siirtymään kyseisen menetelmän käyttäjäksi. Kuten aikaisemmassa Tietoturva nyt! -artikkelissa mainitsimme, asian rikostutkinta on keskitetty KRP:n tietotekniikkarikosyksikköön. Erityisesti teon kohteeksi joutuneiden palveluntarjoajien tulisi vakavasti harkita rikosilmoituksen tekemistä - suoraan KRP:lle. Lopuksi vakava kehoitus kaikkien phpBB- ja Wordpress -pohjaisten verkkopalvelujen ylläpitäjälle. Tarkistakaa ohjelmistonne ja käyttöjärjestelmäalustan päivitysten ajantasaisuus ja asetusten turvallisuus. Pelkonamme on että Suomesta löytyy vielä tiedossa olevien tapausten lisäksi joukko vielä paljastumattomia phpBB- ja Wordpress-alustalla toteutettujen palvelujen tietomurtoja. Näille järjestelmille on saatavissa valmiita hyökkäystyökaluja - päivittämätön järjestelmä on vakava turvallisuusriski! CERT-FI on ollut tänään aktiivisesti näkyvillä medioissa. Tämänpäiväisen tilanteen summaus on mahdollista katsoa Nelosen uutisten videotallenteena allamainitusta linkistä. 14.10.2007 Käyttäjätunnustiedoston selvittely eteneeCERT-FI on saanut illan aikana lukuisia yhteydenottoja aikaisemmassa Tietoturva nyt! -artikkelissa ja CERT-FI-varoituksessa 7/2007 kuvatun käyttäjätunnustietovuodon johdosta. Olemme todlla kiitollisia saamistamme asiaan liittyvistä tiedoista ja havainnoista. Tiedot tapaukseen liittyvistä havainnoista ovat erittäin tervetulleita jatkossakin.Tässä yhteydessä on syytä välittää seuraava tieto KRP:lta: asiaan liittyvä poliisitutkinta on keskitetty KRP:n tietotekniikkarikosyksikköön. Etenkin asianosaisten palvelutarjoajien olisi syytä harkita rikosilmoituksen tekemistä asian johdosta suoraan KRP:lle. Alustavat merkit viittaavat phpBB- ja tietokantahaavoittuvuuksien olleen eräänä reittinä hyökkäyksille. 13.10.2007 Suomalaisia verkkopalveluiden käyttäjätunnuksia sisältävä tiedosto verkossaCERT-FI on saanut ilmoituksen verkossa jaossa olevasta tiedostosta, joka näyttää sisältävän kymmeniä tuhansia suomalaisten verkkopalvelujen, lähinnä keskustelufoorumien tai yhteisöpalvelujen käyttäjätunnuksia sekä käyttäjätunnusten md5 / sha1 -salasanatiivisteitä. Tiedostossa näyttäisi olevan myös joitakin satoja selväkielisiä salasanoja.CERT-FI selvittää parasta aikaa, mihin palveluihin tunnukset mahdollisesti liittyvät. CERT-FI on myös yhteydessä verkkopalveluntarjoajiin, teleyrityksiin ja poliisiviranomaisiin. Jos on syytä epäillä oman verkkopalvelusalasanan joutuneen vääriin käsiin, salasana on syytä vaihtaa välittömästi. Jos käyttää samaa salasanaa useissa eri verkkopalveluissa (mikä ei ole missään tapauksessa suositeltavaa) kaikkien samaa salasanaa käyttäneiden palvelujen salasanat on vaihdettava. 12.10.2007 Vilkas tietoturvaviikkoTämä viikko on osoittautunut varsin vilkkaaksi tietoturvatapahtumien osalta.Erityyppisiä haavoittuvuuksia julkistettiin tai haavoittuvuustietoja tarkennettiin lukuisia. Microsoftin tämän tiistain päivityksissä korjattiin monta haittaohjelmien kannalta hyödyntämiskelpoista haavoittuvuutta. CERT-FI -haavoittuvuustiedotteessa 132/2007 mainittu ShellExecute() -haavoittuvuus on mielenkiintoinen seurattava - haavoittuvuuden hyödyntämismenetelmistä käydään eri foorumeilla vilkasta keskustelua. Haavoittuvuuden hyödyntämistodennäköisyys hyökkäyksissä kasvaa koko ajan. Ciscon IOS-ohjelmistosta on odotettavissa lähikuukausina lisää haavoittuvuusjulkistuksia. Cisco-ylläpitäjien on syytä seurata tilannetta aktiivisesti. Onneksi haavoittuvuuksia löytänyt taho vaikuttaa toimivan vastuullisesti ja raportoi löydöksistään asianmukaisesti laitevalmistajalle. Näin ohjelmistopäivitykset ovat saatavissa samanaikaisesti haavoittuvuusjulkistuksen kanssa. CERT-FI on seurannut kohtalaisen laajaa palvelunestohyökkäystä, jonka eräs hyökkäysmuoto kohdistuu tiettyjä ulkomailla sijaitsevia DNS-nimipalvelimia kohtaan. Hyökkäyksen varsinaisena kohteena ei ole nimipalvelimia ylläpitävä organisaatio, vaan tietyt nimipalvelimilla ylläpidettävät verkkotunnukset, joiden haltijana on ulkomailla sijaitseva yritys. Hyökkäyksellä ei ole vaikutusta suomalaisiin internet-käyttäjiin tai verkkoihin, mutta on sinänsä mielenkiintoinen tyypiltään. Hyökkäyksen kohteena olevien nimipalvelimien lukuisat muut domain-asiakkaat joutuvat kärsimään tilanteesta. Suomesta on löytynyt ainoastaan yksi hyökkäysliikenteeseen osallistunut tietokone. Lokakuu on Yhdysvalloissa kansallinen tietoturvakuukausi - National Cyber Awarness Month. Useat yhdysvaltalaiset tietoturvaorganisaatiot julkaisevat kuukauden aikana uutta tietoturva-aiheista materiaalia. Hyvänä esimerkkinä vaikkapa SANS Internet Storm Center -blogin päivittäiset tietoturvavinkit osoitteessa http://isc.sans.org. 11.10.2007 CERT-FI:n tietoturvakatsaus 3/2007 on julkaistuCERT-FI:n tietoturvakatsauksessa kerrotaan ajankohtaisista tietoturvallisuuden trendeistä ja tapahtumista. Raportissa todetaan muun muassa, että haittaohjelmia levitetään sähköpostiviestien avulla toisaalta laajamittaisina roskapostituskampanjoina ja toisaalta yrityksiin kohdistettuina täsmähyökkäyksinä.09.10.2007 Microsoft on julkaissut lokakuun ohjelmistopäivityksetTämänkertaisen Microsoft-ohjelmistopäivitystiistain anti oli kuusi päivityspakettia, joista neljä on luokiteltu kriittisiksi. Osa Internet Explorer -haavoittuvuuksien hyödyntämismenetelmistä on ollut julkisessa tiedossa jo jonkin aikaa. Outlook Express / Windows Mail -haavoittuvuudet sekä Kodak Image Viewer -haavoittuvuus ansaitsevat kriittisen luokituksen. Word -ohjelmistokorjaus korjaa tyypillisesti kohdistetuissa hyökkäyksissä käytetyn Office-tiedostojen käsittelyyn liittyvän haavoittuvuuden.Tässä yhteydessä onkin syytä mainta MOICE-työkalu: Microsoft Office Isolated Conversion Enviroment. Kyseisellä ohjelmistolla voidaan merkittävästi parantaa Microsoft Office -ohjelmistojen suojausta Office-tiedostojen käsittelyyn liittyviltä haavoittuvuuksilta. MOICE-työkalu tekee Office-tiedostolle konversion binääritiedostomuodosta Office 2007 XML-tiedostomuotoon ja takaisin. Tällä konversiolla saadaan suodatettua useimmat binääritiedostomuotoon liittyvät hyökkäysvektorit pois ennen tiedoston avaamista vasrsinaisella Office-ohjelmistolla. Lisätietoa MOICE-työkalusta on saatavilla allamainituista linkeistä. |
