CERT-FI varoitus 33/2006

Haavoittuvuuksia Microsoft Office -sovelluksissa

Microsoft on julkaissut kaksi uutta korjausta Office-ohjelmistoista löydettyihin haavoittuvuuksiin, joita hyväksikäyttämällä hyökkääjän voi olla mahdollista suorittaa omia komentojaan.

Ensimmäinen haavoittuvuuksista koskee Microsoft Word -tekstinkäsittelyohjelmistoa. Haavoittuvuus liittyy Word-tiedostoissa oleviin objektiosoittimiin (object pointer). Tietyllä tavalla muotoillulla objektiosoittimella varustetun tiedoston avaaminen voi aiheuttaa muistin korruptoitumisen. Word-haavoittuvuutta on hyväksikäytetty kohdistetuissa hyökkäyksissä toukokuun loppupuolella.

Microsoft PowerPoint -ohjelmistosta on löydetty haavoittuvuus, joka liittyy PowerPoint-tiedostojen tietueiden käsittelyyn. Tietyllä tavalla muokatun tietueen sisältämän tiedoston avaaminen voi aiheuttaa muistin korruptoitumisen.

Molempia haavoittuvuuksia voidaan hyväksikäyttää houkuttelemalla käyttäjä avaamaan tietyllä tavalla muokattu tiedosto esimerkiksi www-sivuston kautta tai lähettämällä tiedosto käyttäjälle sähköpostin liitteenä.

VAROITUKSEN KOHDERYHMÄ:

• Microsoft Word ja PowerPoint -ohjelmistot

Tarkemmat tiedot haavoittuvista ohjelmistoversioista on saatavilla valmistajan julkaisemista tiedotteista.

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuva ohjelmisto valmistajan ohjeiden mukaisesti. Office-ohjelmistojen päivitykset ovat ladattavissa osoitteesta:

http://office.microsoft.com/officeupdate/

Yleisohjeena CERT-FI suosittelee välttämään kaikkien epäilyttävien sähköpostiliitetiedostojen avaamista.

LISÄTIETOA:

http://www.microsoft.com/technet/security/Bulletin/MS06-027.mspx

http://www.microsoft.com/technet/security/Bulletin/MS06-028.mspx

PÄIVITYSHISTORIA:

14.06.2006: Julkaistu

Sivua päivitetty 30.11.2006

Tulostusversio