Tietoturva nyt!

19.10.2007

Salasanatiedostotapaus - tilannepäivitys 19.10.

On käynyt ilmi, että osa salasanatiedostotapauksen alkuvaiheessa julkisuuteen toimittamistamme hyödynnettyjä haavoittuvuuksia koskevista tiedoista oli puutteellisia tai jopa virheellisiä. Tapauksen tutkinnan myöhemmässä vaiheessa on osoittautunut, että aikaisemmin luultua useammassa tapauksessa on hyödynnetty muita kuin järjestelmän pohjana olevassa web-foorumisovelluksessa (CERT-FI:n mainitsemat phpBB, Wordpress, SMF) olleita haavoittuvuuksia. Useissa murtotapauksissa on mitä ilmeisimmin hyödynnetty ylläpitäjien itse kehittämissä lisäkomponenteissa tai kolmannen osapuolen tuottamissa komponenteissa olleita käyttäjän antaman syötteen puutteelliseen tarkistukseen liittyviä haavoittuvuuksia.

Omien havaintojemme ja meille toimitettujen tietojen mukaan Suomesta löytyy kuitenkin lukuisia päivittämättömiä ja siksi haavoittuvia yhteisöpalveluohjelmistoja. Www-sovellusten säännöllinen päivittäminen uusimpaan julkaistuun versioon on tärkeää haavoittuvuusriskin minimoimiseksi. Aktiivisesti kehitettävien www-sovellusten uusimmissa versioissa on nykyään harvoin julkisesti tiedossa olevia haavoittuvuuksia.

Lisätietoa

Sivua päivitetty 19.10.2007

Tulostusversio