CERT-FI varoitus 26/2006

Haavoittuvuus Microsoft Exchange -ohjelmistossa

Microsoft Exchange on yleisesti käytetty postipalvelinohjelmisto. Ohjelmistosta on löydetty haavoittuvuus iCal ja vCal -kalenteritietoja käsittelevistä Collaboration Data Objects -komponenteista CDOEX ja EXCDO. Hyökkääjä voi suorittaa omaa ohjelmakoodiaan Exchange-palvelimessa lähettämällä haitallisesti muotoillun iCal tai vCal -elementtejä sisältävän sähköpostiviestin palvelimelle.

Microsoft on luokitellut haavoittuvuuden kriittiseksi.

VAROITUKSEN KOHDERYHMÄ:

• Microsoft Exchange Server 2000 varustettuna Exchange 2000 Post-Service Pack 3 Update Rollup of August 2004 -päivityksellä

• Microsoft Exchange Server 2003 Service Pack 1

• Microsoft Exchange Server 2003 Service Pack 2

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuva Exchange-palvelin Microsoft-tietoturvatiedotteen MS06-019 ohjeiden mukaisesti.

Huomioi, että päivitys sisältää muutoksen Exchange-palvelimen käyttöoikeusmäärittelyihin, liittyen "Full Mailbox Access" -määrittelyyn. Muutos voi vaata palvelimen ylläpidolta lisätoimenpiteitä, jotka on kuvattu Knowledge Base -artikkelissa 912918. Käyttöoikeusmäärittelyiden muutos voi koskea erityisesti Exchange-palvelimeen liitettyjä oheisjärjestelmiä, kuten mobiilisähköpostipalvelmia.

LISÄTIETOA:

http://www.microsoft.com/technet/security/Bulletin/MS06-019.mspx

http://support.microsoft.com/kb/916803

PÄIVITYSHISTORIA:

09.05.2006: Julkaistu

Sivua päivitetty 30.11.2006

Tulostusversio