Maaliskuu

31.03.2008

XSS-haavoittuvuuksien löytyminen suomalaisilta sivustoilta jatkuu

Suomalaiset tietotekniikan harrastajat ovat löytäneet viime päivinä suomalaisilta sivustoilta monia XSS-haavoittuvuuksia.

Sivustojen joukossa on yritysten ja julkishallinnon sivustoja sekä harrastesivustoja. SSL-suojattuja sivustoja on raportoitu vain muutamia. Palveluntarjoajat ovat korjanneet haavoittuvuudet pääosin nopeasti. CERT-FI toimii yhteistyössä palveluntarjoajien ja haavoittuvuuksista raportoineiden kanssa tilanteen ratkaisemiseksi.

CERT-FI suosittelee, että kirjautumista vaativiin palveluihin tulisi siirtyä kirjoittamalla osoite selaimen osoiteriville tai käyttämällä selaimeen tallennettua kirjanmerkkiä; erityisesti pyytämättä ja yllättäen sähköpostissa tulleiden ja keskustelufoorumeilla esiintyvien linkkien seuraamista tulisi välttää.

28.03.2008

Cross site scripting -haavoittuvuudet

Käyttäjän suojautuminen

Hyökkäyksissä käytettävä ohjelmakoodi on yleensä JavaScriptiä, joten käyttäjä voi suojautua niiltä kieltämällä kokonaan JavaScriptin suorittamisen selaimessa. JavaScriptin estäminen voi kuitenkin myös häiritä tai estää joidenkin sivustojen selailua. Usein hyökkäyksen voi tunnistaa tutkimalla linkin takana olevan URL-osoitteen muotoa, mutta hyökkääjä voi myös pyrkiä piilottamaan hyökkäyksen muotoilemalla osoitteen siten, ettei komentojen tai ulkoisten osoitteiden havaitseminen ole helppoa. Vihamielisiä syötteitä URL-osoitteissa voi välttää siten, että siirtyy sivustolle vain puhtaaksi tunnetun osoitteen, kuten vaikkapa palvelun oman etusivun kautta, tai syöttää osoitteen kokonaan itse.

Palvelimen suojaaminen

Sivustojen ja www-palvelimen tulisi aina tarkistaa huolellisesti käyttäjältä tulevat syötteet. Tämä koskee sekä palvelimelle syötettäviä URL-osoitteita että sivujen kautta syötettäviä tietoja. Pelkästään tiettyjen merkkien tai merkkiyhdistelmien suodattamista ei voi pitää riittävänä, sillä tällaisen suodatuksen voi useimmiten kiertää.

Myös palvelimen käyttäjälle tulostamien sivujen oikeellisuus olisi syytä tarkistaa. Sivujen tulisi olla ehjää HTML- tai XML-sisältöä ja sivuilla käytettävän merkistökoodauksen mukaista. Sisällön tarkistamiseen ja vihamielisen sisällön suodattamiseen on olemassa työkaluja eri www-palvelinohjelmistoja ja ohjelmointiympäristöjä varten.

24.03.2008

Kohdistetut hyökkäykset puhuttavat

CERT-FI:ltä kysytään usein, miltä niin sanotut kohdistetut hyökkäykset näyttävät ja miten niitä vastaan voi suojautua. Valitettavasti salassapitosyyt yleensä estävät meitä antamasta yksityiskohtaisia vastauksia.

Viime kuukausien aikana ja viimeksi aivan viime päivinä on kuitenkin julkaistu ansiokkaita julkisia analyysejä ja kuvauksia kohdistetuissa hyökkäyksissä käytetyistä teknisistä ja sosiaalisista menetelmistä. Myös suojautumismekanismeista on tehty artikkeleita. Lisätiedot-osioon on kerätty linkkejä muutamiin aiheita käsitteleviin artikkeleihin.

17.03.2008

CERT-FI disclosed software vulnerabilities of wide impact

CERT-FI published today an advisory of vulnerabilities related to various compression and archiving formats.

A wide variety of software products is affected by vulnerabilities found by the OUSPG group at the University of Oulu. The public disclosure of the vulnerabilities has been coordinated together with the British CPNI, Japanese JPCERT and dozens of software vendors.

CERT-FI is monitoring attempts to exploit the vulnerabilities and will advise on the related software updates.

17.03.2008

CERT-FI julkaisi laajavaikutteisia ohjelmistohaavoittuvuuksia

CERT-FI julkaisi tänään tiedotteen tiettyihin pakkaus- ja arkistointimuotoihin liittyvistä haavoittuvuuksista.

Oulun yliopiston OUSPG-ryhmän löytämät pakattuihin tiedostoihin liittyvät haavoittuvuudet vaikuttavat hyvin moniin eri ohjelmistoihin. Haavoittuvuuksien julkaisua on koordinoitu yhteistyössä brittiläisen CPNI:n, Japanin JPCERTin ja kymmenien ohjelmistovalmistajien kanssa.

CERT-FI seuraa mahdollisia haavoittuvuuksien hyväksikäyttöyrityksiä ja tiedottaa niihin liittyvistä ohjelmistopäivityksistä.

07.03.2008

Ensi tiistaina Microsoftilta neljä kriittistä päivitystä

Microsoft julkaisee tiistaina 11.3. ohjelmistopäivityksiä, jotka on luokiteltu kriittisiksi.

Microsoft julkaisee tiistaina 11. maaliskuuta klo 20:00 Suomen aikaa neljä tietoturvapäivitystä, jotka korjaavat Microsoftin mukaan korkeimmalta vakavuusluokitukseltaan kriittisen haavoittuvuuden. Kolme päivityksistä koskee Microsoft Office -ohjelmistoja ja yksi Outlook-ohjelmistoa.

Yksi päivityksistä saattaa vaatia järjestelmän uudelleenkäynnistyksen. CERT-FI tulee julkaisemaan päivityksistä myös haavoittuvuustiedotteet. CERT-FI suosittelee päivittämään haavoittuvat ohjelmistot heti päivitysten tultua saataville. Helpoin tapa päivitysten asentamiseen on automaattinen päivityspalvelu.