Microsoftin kesäkuun 2006 tietoturvatiedotteet
=============
1. Yhteenveto
=============
Luokitukseltaan kriittiset (Critical) tietoturvatiedotteet:
MS06-021 Internet Explorerin kumulatiivinen tietoturvapäivitys (916281)
MS06-022 Haavoittuvuus ART-kuvatiedostojen käsittelyssä (918439)
MS06-023 Haavoittuvuus Jscript-tulkissa (917344)
MS06-024 Haavoittuvuus Windows Media Playerissä (917734)
MS06-025 Haavoittuvuus RRAS-palvelussa (911280)
MS06-026 Haavoittuvuus Windowsin grafiikkatoiminnoissa (918547)
MS06-027 Haavoittuvuus Microsoft Word -ohjelmassa (917336)
MS06-028 Haavoittuvuus Microsoft PowerPoint -ohjelmassa (916768)
Luokitukseltaan tärkeät (Important) tietoturvatiedotteet:
MS06-029 Haavoittuvuus Microsoft Exchange -palvelimen OWA-webliittymässä
(912442)
MS06-030 Haavoittuvuus SMB-protokollatoteutuksessa (914389)
MS06-032 Haavoittuvuus TCP/IP-protokollatoteutuksessa (917953)
Luokitukseltaan keskitason (Moderate) tietoturvatiedotteet:
MS06-031 Haavoittuvuus RPC-autentikointitoteutuksessa (917736)
Käyttöjärjestelmät, joita tiedotteet koskevat:
===============================================================
| Tiedote | Windows 98, | Windows | Windows | Windows Server |
| | 98SE ja ME | 2000 | XP | 2003 |
---------------------------------------------------------------
| MS06-021 | XXXX | XXXX | XXXX | XXXX |
---------------------------------------------------------------
| MS06-022 | XXXX | XXXX | XXXX | XXXX |
---------------------------------------------------------------
| MS06-023 | XXXX | XXXX | XXXX | XXXX |
---------------------------------------------------------------
| MS06-024 | XXXX | XXXX | XXXX | XXXX |
---------------------------------------------------------------
| MS06-025 | | XXXX | XXXX | XXXX |
---------------------------------------------------------------
| MS06-026 | XXXX | | | |
---------------------------------------------------------------
| MS06-030 | | XXXX | XXXX | XXXX |
---------------------------------------------------------------
| MS06-031 | | XXXX | | |
---------------------------------------------------------------
| MS06-032 | | XXXX | XXXX | XXXX |
===============================================================
Edellisten lisäksi:
- tiedote MS06-027 koskee Word-ohjelman versioita 2000, 2002 ja 2003
- tiedote MS06-028 koskee PowerPoint-ohjelman versioita 2000, 2002 ja 2003
- tiedote MS06-029 koskee Exchange-palvelimen versioita 2000 ja 2003.
Tietoja Microsoftin tietoturvatiedotteisiin liittyvästä tiedottamisesta
löytyy osoitteesta https://www.microsoft.com/finland/security/info/. Yleisiä
huomioita tietoturvatiedotteista löytyy osoitteesta
https://www.microsoft.com/finland/security/info/bulletins.asp. Ajankohtaista
tietoa löytyy myös Suomen Microsoftin tietoturvablogista osoitteessa
https://blogs.technet.com/tietoturvan_weblogi/.
========================================
2. Kooste uusista tietoturvatiedotteista
========================================
___________________________________________________________________
MS06-021 - Cumulative Security Update for Internet Explorer (916861)
Luokitus: Kriittinen (Critical)
Tiedote MS06-021 koskee Internet Explorer -selainohjelman kumulatiivista tietoturvapäivitystä. Internet Explorerista on löydetty kahdeksan eri haavoittuvuutta, joiden kaikkien korjaus sisältyy tiedotteen MS06-021 mukaiseen päivityspakettiin. Haavoittuvuudet antavat pahimmassa tapauksessa vihamieliselle hyökkääjälle mahdollisuuden suorittaa haluamaansa ohjelmakoodia kohteena olevassa tietojärjestelmässä houkuttelemalla käyttäjän avaamaan tietyllä tavalla muotoillun Web-sivun (Remote Code Execution –tyyppinen haavoittuvuus). Osa haavoittuvuuksista on ollut julkisessa tiedossa jo ennen korjauksen julkaisua. Lisätietoja yksittäisistä haavoittuvuuksista on englanninkielisessä tietoturvatiedotteessa osoitteessa
https://www.microsoft.com/technet/security/Bulletin/MS06-013.mspx.
Tässä kuussa julkaistaan myös toinen Internet Explorer –selaimen toimintaan vaikuttava päivitys, joka on kuvattu tiedotteessa MS06-023. On suositeltavaa asentaa nämä molemmat korjaukset samanaikaisesti.
Tiedotteessa käsiteltyyn korjaukseen sisältyy myös ActiveX-komponenttien käsittelyyn liittyvä toiminnallinen muutos, joka ei liity tietoturvaan. Muutos on kuvattu Knowledge Base -artikkelissa 912945 osoitteessa https://support.microsoft.com/kb/912945. Muutos saattaa aiheuttaa ongelmia erityisesti organisaation sisäverkossa käytettävissä sovelluksissa, joissa hyödynnetään ActiveX-komponentteja. Lisätietoja ongelmien ratkaisemikseksi
löytyy osoitteesta https://msdn.microsoft.com/ieupdate/. ActiveX-muutos
julkaistiin jo aiemmin tänä vuonna julkaistun tietoturvatiedotteen MS06-013 yhteydessä, mutta on huomattava, että tämän tietoturvatiedotteen sisältämän AxticeX-muutoksen peruuttamiseksi ei enää julkaista yhteensopivuuspäivitystä, toisin kuin tiedotteen MS06-013 tapauksessa.
* Korjaus vaatii järjestelmän uudelleenkäynnistyksen asennuksen jälkeen.
* Korjauksen asennuksen voi peruuttaa.
* Korjaus voidaan tunnistaa MBSA-ohjelmiston (Microsoft Baseline Security
Analyzer) versioilla 1.2.1 (ainoastaan osa Windows-versioista) ja 2.0.
* Korjaus voidaan asentaa SMS-ohjelmiston (Systems Management Server)
avulla.
* Korjaus voidaan asentaa Windows Update- ja Microsoft Update -sivustojen sekä Software Update Services- ja Windows Server Update Services –palvelujen avulla.
* Korjaus tulee saataville Microsoftin Downloads-sivustoon
(https://www.microsoft.com/downloads, linkit yksittäisiin korjauksiin
löytyvät englanninkielisestä tiedotteesta osoitteessa
https://www.microsoft.com/technet/security/Bulletin/MS06-021.mspx).
Haavoittuvuus koskee seuraavia käyttöjärjestelmän ja selaimen yhdistelmiä:
- Microsoft Windows 2000 (Service Pack 4) - Internet Explorer 5.01 (Service
Pack 4) ja Internet Explorer 6 (Service Pack 1)
- Microsoft Windows XP (Service Pack 1 ja Service Pack 2) - Internet
Explorer 6 ja Internet Explorer 6 (Service pack 1)
- Microsoft Windows XP Professional x64 Edition - Internet Explorer 6
- Microsoft Windows Server 2003 (alkuperäinen versio, Service Pack 1 ja
R2-versio) - Internet Explorer 6
- Microsoft Windows Server 2003 for Itanium-based Systems (alkuperäinen versio ja Service Pack 1) - Internet Explorer 6
- Microsoft Windows Server 2003 x64 Edition (alkuperäinen versio ja
R2-versio) - Internet Explorer 6
- Microsoft Windows 98, Microsoft Windows 98 Second Edition (SE) tai
Microsoft Windows Millennium Edition (ME) - Internet Explorer 6
Haavoittuvuuteen liittyviä lisätietoja ja linkit korjauksen eri versioihin löytyvät Microsoftin Web-sivustosta seuraavista osoitteista:
https://www.microsoft.com/technet/security/bulletin/ms06-jun.mspx
https://www.microsoft.com/technet/security/Bulletin/MS06-021.mspx
https://support.microsoft.com/kb/916861
Korjauksen luokitus on Kriittinen (Critical). Microsoft suosittelee, että korjaus asennetaan kaikkiin sellaisiin järjestelmiin, joissa on käytössä jokin edellä mainituista Windows-käyttöjärjestelmän ja Internet Explorer -selainohjelman versioista.
___________________________________________________________________
MS06-022 Vulnerability in ART Image Rendering Could Allow Remote Code
Execution (918439)
Luokitus: Kriittinen (Critical)
Tiedote MS06-022 koskee ART-kuvatiedostomuodon käsittelyä.
ART-kuvatiedostomuoto on AOL:n työasemasovelluksen käyttämä
kuvatiedostomuoto, mutta kuvatiedostomuodon käsittelyyn tarvittava
toiminnallisuus sisältyy Windowsiin ja lisäksi Internet Explorer osaa
näyttää tiedostomuodon mukaisia kuvatiedostoja.
Kuvatiedoston käsittelytoiminnallisuudesta on löytynyt haavoittuvuus, joka antaa vihamieliselle hyökkääjälle mahdollisuuden suorittaa haluamaansa
ohjelmakoodia kohteena olevassa järjestelmässä (Remote Code Execution
–tyyppinen haavoittuvuus). Vihamielinen hyökkääjä voi hyödyntää
haavoittuvuutta sijoittamalla tietyllä tavalla muotoillun kuvatiedoston
Web-sivulle tai HTML-muotoiseen sähköpostiviestiin, ja sen jälkeen
houkuttelemalla käyttäjän avaamaan Web-sivun Internet Explorer -selaimessa
tai sähköpostisovelluksessa.
Huomautuksia:
* Haavoittuvuuden aiheuttamaa riskiä voidaan pienentää myös poistamalla
ART-kuvatiedostomuodon käsittely käytöstä. Lisätietoja on englanninkielisen
tiedotteen Workarounds-osiossa.
* Korjaus saattaa vaatia järjestelmän uudelleenkäynnistyksen asennuksen
jälkeen.
* Korjauksen asennuksen voi peruuttaa.
* Korjaus voidaan tunnistaa MBSA-ohjelmiston (Microsoft Baseline Security
Analyzer) versioilla 1.2.1 (ainoastaan osa Windows-versioista) ja 2.0.
* Korjaus voidaan asentaa SMS-ohjelmiston (Systems Management Server)
avulla.
* Korjaus voidaan asentaa Windows Update- ja Microsoft Update -sivustojen
sekä Software Update Services- ja Windows Server Update Services –palvelujen
avulla.
* Korjaus tulee saataville Microsoftin Downloads-sivustoon
(https://www.microsoft.com/downloads, linkit yksittäisiin korjauksiin
löytyvät englanninkielisestä tiedotteesta osoitteessa
https://www.microsoft.com/technet/security/Bulletin/MS06-022.mspx).
Haavoittuvuus koskee seuraavia käyttöjärjestelmän ja selaimen yhdistelmiä:
- Microsoft Windows 2000 (Service Pack 4) - Internet Explorer 5.01 (Service
Pack 4) ja Internet Explorer 6 (Service Pack 1)
- Microsoft Windows XP (Service Pack 1 ja Service Pack 2)
- Microsoft Windows XP Professional x64 Edition
- Microsoft Windows Server 2003 (alkuperäinen versio, Service Pack 1 ja
R2-versio)
- Microsoft Windows Server 2003 for Itanium-based Systems (alkuperäinen
Versio ja Service Pack 1)
- Microsoft Windows Server 2003 x64 Edition (alkuperäinen versio ja
R2-versio)
- Microsoft Windows 98, Microsoft Windows 98 Second Edition (SE) tai
Microsoft Windows Millennium Edition (ME)
Haavoittuvuuteen liittyviä lisätietoja ja linkit korjauksen eri versioihin
löytyvät Microsoftin Web-sivustosta seuraavista osoitteista:
https://www.microsoft.com/technet/security/bulletin/ms06-jun.mspx
https://www.microsoft.com/technet/security/Bulletin/MS06-022.mspx
https://support.microsoft.com/kb/918439
Korjauksen luokitus on Kriittinen (Critical). Microsoft suosittelee, että
korjaus asennetaan kaikkiin sellaisiin järjestelmiin, joissa on käytössä
jokin edellä mainituista Windows-käyttöjärjestelmän ja Internet Explorer
-selainohjelman versioista.
___________________________________________________________________
MS06-023 Vulnerability in Microsoft JScript Could Allow Remote Code
Execution (917344)
Luokitus: Kriittinen (Critical)
Tiedote MS06-023 koskee Microsoftin Jscript-tulkista löytynyttä
haavoittuvuutta. Jscript-tulkkia käytetään mm. Internet Explorer –selaimessa
tulkitsemaan ja suorittamaan Javascript-kielisiä ohjelmamoduuleja.
Jscript-tulkista on löydetty haavoittuvuus, joka liittyy tulkin tapaan
vapauttaa käytettäviä objekteja ennenaikaisesti ja näin aiheuttaa muistin
korruptoitumisen. Haavoittuvuus antaa vihamieliselle hyökkääjälle
mahdollisuuden suorittaa haluamaansa ohjelmakoodia kohteena olevassa
järjestelmässä (Remote Code Execution –tyyppinen haavoittuvuus).
Vihamielinen hyökkääjä voi hyödyntää haavoittuvuutta sijoittamalla tietyllä
tavalla muotoillun ohjelmamoduulin Web-sivulle, ja sen jälkeen
houkuttelemalla käyttäjän avaamaan Web-sivun Internet Explorer -selaimessa.
* Korjaus saattaa vaatia järjestelmän uudelleenkäynnistyksen asennuksen
jälkeen.
* Korjauksen asennuksen voi peruuttaa osassa Windows-versioita.
* Korjaus voidaan tunnistaa MBSA-ohjelmiston (Microsoft Baseline Security
Analyzer) versiolla 2.0.
* Korjaus voidaan asentaa SMS-ohjelmiston (Systems Management Server)
avulla.
* Korjaus voidaan asentaa Microsoft Update –sivuston sekä Windows Server
Update Services –palvelun avulla.
* Korjaus tulee saataville Microsoftin Downloads-sivustoon
(https://www.microsoft.com/downloads, linkit yksittäisiin korjauksiin
löytyvät englanninkielisestä tiedotteesta osoitteessa
https://www.microsoft.com/technet/security/Bulletin/MS06-023.mspx).
Haavoittuvuus koskee seuraavia käyttöjärjestelmän versioita:
- Microsoft Windows 2000 (Service Pack 4)
- Microsoft Windows XP (Service Pack 1 ja Service Pack 2)
- Microsoft Windows XP Professional x64 Edition
- Microsoft Windows Server 2003 (alkuperäinen versio ja Service Pack 1)
- Microsoft Windows Server 2003 for Itanium-based Systems (alkuperäinen
Versio ja Service Pack 1)
- Microsoft Windows Server 2003 x64 Edition (alkuperäinen versio ja
R2-versio)
- Microsoft Windows 98, Microsoft Windows 98 Second Edition (SE) tai
Microsoft Windows Millennium Edition (ME)
Haavoittuvuuteen liittyviä lisätietoja ja linkit korjauksen eri versioihin
löytyvät Microsoftin Web-sivustosta seuraavista osoitteista:
https://www.microsoft.com/technet/security/bulletin/ms06-jun.mspx
https://www.microsoft.com/technet/security/Bulletin/MS06-023.mspx
https://support.microsoft.com/kb/917344
Korjauksen luokitus on Kriittinen (Critical). Microsoft suosittelee, että
korjaus asennetaan kaikkiin sellaisiin järjestelmiin, joissa on käytössä
jokin edellä mainituista Windows-käyttöjärjestelmän versioista.
___________________________________________________________________
MS06-024 Vulnerability in Windows Media Player Could Allow Remote Code
Execution (917734)
Luokitus: Kriittinen (Critical)
Tiedote MS06-005 koskee Windowsin Media Player -ohjelmaa. Media Playerista
on löydetty haavoittuvuus, joka liittyy PNG-kuvatiedostojen käsittelyyn
Media Playerissa. Haavoittuvuus antaa vihamieliselle hyökkääjälle
mahdollisuuden suorittaa haluamaansa ohjelmakoodia kohteena olevassa
järjestelmässä (Remote Code Execution -tyyppinen haavoittuvuus).
Vihamielinen hyökkääjä voi hyödyntää haavoittuvuutta luomalla tietyllä
tavalla muotoillun kuvatiedoston ja sijoittamalla sen jollekin Web-sivulle,
ja sen jälkeen houkuttelemalla käyttäjän avaamaan sivun, tai liittämällä
tietyllä tavalla muotoillun Media Playerin WMZ-skin-tiedoston
HTML-muotoiseen sähköpostiviestiin, ja lähettämällä sen käyttäjälle.
Huomautuksia:
- Haavoittuvuuden aiheuttamaa riskiä voidaan pienentää mm. estämällä Media
Playerin skin-tiedostojen (.WMZ) käsittely. Ohjeita tästä on
englanninkielisen tiedotteen Workarounds-osiossa.
* Korjaus ei vaadi järjestelmän uudelleenkäynnistystä asennuksen jälkeen.
* Korjauksen asennus voidaan peruuttaa.
* Korjaus voidaan tunnistaa MBSA-ohjelmiston (Microsoft Baseline Security
Analyzer) versiolla 2.0.
* Korjaus voidaan asentaa SMS-ohjelmiston (Systems Management Server)
avulla.
* Korjaus voidaan asentaa Windows Update- ja Microsoft Update -sivustojen
sekä Software Update Services- ja Windows Server Update Services –palvelujen
avulla.
* Korjaus tulee saataville Microsoftin Downloads-sivustoon
(https://www.microsoft.com/downloads, linkit yksittäisiin korjauksiin
löytyvät englanninkielisestä tiedotteesta osoitteessa
https://www.microsoft.com/technet/security/Bulletin/MS06-005.mspx).
* Tarkempia tietoja asennus- ja tunnistusmahdollisuuksista korjauksen eri
versioille on englanninkielisessä tiedotteessa.
Haavoittuvuus koskee seuraavia tuotteita:
- Windows Media Playerin versio 7.1 seuraavissa käyttöjärjestelmissä:
- Microsoft Windows 2000 (Service Pack 4)
- Windows Media Playerin versio XP seuraavissa käyttöjärjestelmissä:
- Microsoft Windows XP (Service Pack 1)
- Windows Media Playerin versio 9 seuraavissa käyttöjärjestelmissä:
- Microsoft Windows 2000 (Service Pack 4)
- Microsoft Windows XP (Service Pack 1 tai Service Pack 2)
- Microsoft Windows Server 2003 (alkuperäinen versio)
- Windows Media Playerin versio 10 seuraavissa käyttöjärjestelmissä:
- Microsoft Windows XP (Service Pack 1 tai Service Pack 2)
- Microsoft Windows XP Professional x64 Edition
- Microsoft Windows Server 2003 (Service Pack 1)
- Microsoft Windows Server 2003 x64 Edition
- Microsoft Windows 98, Microsoft Windows 98 Second Edition (SE) tai
Microsoft Windows Millennium Edition (ME)
- Lisätietoja korjauksen eri versioista on englanninkielisessä tiedotteessa.
Haavoittuvuuteen liittyviä lisätietoja ja linkit korjauksen eri versioihin
löytyvät Microsoftin Web-sivustosta seuraavista osoitteista:
https://www.microsoft.com/technet/security/bulletin/ms06-jun.mspx
https://www.microsoft.com/technet/security/Bulletin/MS06-024.mspx
https://support.microsoft.com/kb/917734
Korjauksen luokitus on Kriittinen (Critical). Microsoft suosittelee, että
korjaus asennetaan kaikkiin sellaisiin järjestelmiin, joissa on käytössä
jokin edellä mainituista Media Player -ohjelmiston ja
Windows-käyttöjärjestelmän versioista.
___________________________________________________________________
MS06-025 Vulnerability in Routing and Remote Access Could Allow Remote Code
Execution (911280)
Luokitus: Kriittinen (Critical)
Tiedote MS06-023 koskee Windowsin Routing and Remote Access –palvelua
(RRAS), jota käytetään Windows-järjestelmissä etäyhteyksien muodostamiseen
ja vastaanottamiseen sekä reititystoimintoihin. Palvelusta on löydetty kaksi
puskuriylivuotohaavoittuvuutta, jotka antavat vihamieliselle hyökkääjälle
mahdollisuuden suorittaa haluamaansa ohjelmakoodia kohteena olevassa
järjestelmässä (Remote Code Execution –tyyppinen haavoittuvuus).
Windows-järjestelmästä riippuen haavoittuvuutta voidaan hyödyntää joko
lähettämällä kohteena olevaan järjestelmään tietyllä tavalla muotoiltu
verkkopaketti tai paikallisesti kirjautumalla järjestelmään ja suorittamalla
haavoittuvuutta hyödyntävä ohjelma.
Huomautuksia:
* Haavoittuvuuden sisältävä palvelu on oletuksena käytössä ainoastaan
Windows 2000 –järjestelmissä. Muissa Windows-versioissa palvelu on erikseen
otettava käyttöön. On kuitenkin huomattava, että mm. Remote Access Auto
Connection Manager –palvelu sekä Windows 2000 –järjestelmissä Internet
Connection Sharing –palvelu ovat riippuvaisia RRAS-palvelusta, jolloin
RRAS-palvelu käynnistetään automaattisesti ennen näiden palveluiden
käynnistymistä.
* Haavoittuvuutta voidaan hyödyntää verkon välityksellä anonyymisti ilman
käyttäjätunnusta Windows 2000- ja Windows XP Service Pack 1
–käyttöjärjestelmällä varustetuissa järjestelmissä. Windows XP Service Pack
2- ja Windows Server 2003 –käyttöjärjestelmällä varustetuissa järjestelmissä
haavoittuvuuden hyödyntäminen verkon välityksellä sen sijaan edellyttää
kelvollista pääkäyttäjän tunnusta kohdejärjestelmissä.
* Haavoittuvuuden aiheuttamaa riskiä voidaan pienentää poistamalla
RRAS-palvelu käytöstä. Lisätietoja on englanninkielisen tiedotteen
Workarounds-osiossa.
* Korjaus vaatii järjestelmän uudelleenkäynnistyksen asennuksen jälkeen.
* Korjauksen asennuksen voi peruuttaa.
* Korjaus voidaan tunnistaa MBSA-ohjelmiston (Microsoft Baseline Security
Analyzer) versioilla 1.2.1 ja 2.0.
* Korjaus voidaan asentaa SMS-ohjelmiston (Systems Management Server)
avulla.
* Korjaus voidaan asentaa Windows Update- ja Microsoft Update –sivustojen
sekä Software Update Services- ja Windows Server Update Services –palvelujen
avulla.
* Korjaus tulee saataville Microsoftin Downloads-sivustoon
(https://www.microsoft.com/downloads, linkit yksittäisiin korjauksiin
löytyvät englanninkielisestä tiedotteesta osoitteessa
https://www.microsoft.com/technet/security/Bulletin/MS06-025.mspx).
Haavoittuvuus koskee seuraavia käyttöjärjestelmän versioita:
- Microsoft Windows 2000 (Service Pack 4)
- Microsoft Windows XP (Service Pack 1 ja Service Pack 2)
- Microsoft Windows XP Professional x64 Edition
- Microsoft Windows Server 2003 (alkuperäinen versio ja Service Pack 1)
- Microsoft Windows Server 2003 for Itanium-based Systems (alkuperäinen
Versio ja Service Pack 1)
- Microsoft Windows Server 2003 x64 Edition
Haavoittuvuuteen liittyviä lisätietoja ja linkit korjauksen eri versioihin
löytyvät Microsoftin Web-sivustosta seuraavista osoitteista:
https://www.microsoft.com/technet/security/bulletin/ms06-jun.mspx
https://www.microsoft.com/technet/security/Bulletin/MS06-025.mspx
https://support.microsoft.com/kb/911280
Korjauksen luokitus on Kriittinen (Critical). Microsoft suosittelee, että
korjaus asennetaan kaikkiin sellaisiin järjestelmiin, joissa on käytössä
jokin edellä mainituista Windows-käyttöjärjestelmän versioista.
___________________________________________________________________
MS06-026 Vulnerability in Graphics Rendering Engine Could Allow Remote Code
Execution (918547)
Luokitus: Kriittinen (Critical)
Tiedote MS06-026 koskee Windows 98- ja 98SE- sekä Windows Millenium Edition
–käyttöjärjestelmien grafiikkatoiminnallisuutta. Toiminnallisuuden
WMF-kuvatiedostojen (Windows Metafile Format) käsittelyyn liittytvistä
toiminnoista on löydetty haavoittuvuus, joka antaa vihamieliselle
hyökkääjälle mahdollisuuden suorittaa haluamaansa ohjelmakoodia kohteena
olevassa järjestelmässä (Remote Code Execution –tyyppinen haavoittuvuus).
Vihamielinen hyökkääjä voi hyödyntää haavoittuvuutta sijoittamalla tietyllä
tavalla muotoillun WMF-kuvatiedoston Web-sivulle tai HTML-muotoiseen
sähköpostiviestiin, ja sen jälkeen houkuttelemalla käyttäjän avaamaan
Web-sivun Internet Explorer -selaimessa tai sähköpostisovelluksessa.
Huomautuksia:
* Haavoittuvuus koskee ainoastaan Windows 98- ja 98SE- sekä Windows
Millenium Edition –käyttöjärjestelmiä.
* Haavoittuvuus ei ole sama kuin tiedotteessa MS06-001 kuvattu
haavoittuvuus.
Haavoittuvuus koskee seuraavia käyttöjärjestelmän versioita:
- Microsoft Windows 98, Microsoft Windows 98 Second Edition (SE) tai
Microsoft Windows Millennium Edition (ME)
Haavoittuvuuteen liittyviä lisätietoja ja linkit korjauksen eri versioihin
löytyvät Microsoftin Web-sivustosta seuraavista osoitteista:
https://www.microsoft.com/technet/security/bulletin/ms06-jun.mspx
https://www.microsoft.com/technet/security/Bulletin/MS06-026.mspx
https://support.microsoft.com/kb/918547
Korjauksen luokitus on Kriittinen (Critical). Microsoft suosittelee, että
korjaus asennetaan kaikkiin sellaisiin järjestelmiin, joissa on käytössä
jokin edellä mainituista Windows-käyttöjärjestelmän versioista.
___________________________________________________________________
MS06-027 Vulnerability in Microsoft Word Could Allow Remote Code Execution
(917336)
Luokitus: Kriittinen (Critical)
Tiedote MS06-027 koskee Microsoft Word –tekstinkäsittelyohjelmaa. Ohjelmasta
on löydetty haavoittuvuus, joka liittyy Word-tiedostoissa oleviin
objektiosoittimiin (object pointer). Tietyllä tavalkla muotoillulla
objektiosoittimella varustetun tiedoston avaaminen saattaa aiheuttaa muistin
korruptoitumisen, mikä saattaa antaa vihamieliselle hyökkääjälle
mahdollisuuden suorittaa haluamaansa ohjelmakoodia kohteena olevassa
järjestelmässä (Remote Code Execution –tyyppinen haavoittuvuus).
Vihamielinen hyökkääjä voi hyödyntää haavoittuvuutta houkuttelemalla
käyttäjän avaamaan tietyllä tavalla muotoillun Word-tiedoston esimerkiksi
Web-sivuston kautta tai lähettämällä tiedoston käyttäjälle sähköpostin
välityksellä.
Haavoittuvuus on ollut julkisesti tiedossa jo ennen korjauksen julkistamista
ja sitä on myös hyödynnetty. Microsoft on julkaissut haavoittuvuudesta
aiemmin Security Advisoryn 919637
(https://www.microsoft.com/technet/security/advisory/919637.mspx).
Huomautuksia:
* Haavoittuvuuden aiheuttamaa riskiä voidaan pienentää myös käyttämällä
Word-tekstinkäsittelyohjelmaa Safe-tilassa. Lisätietoja on englanninkielisen
tiedotteen Workarounds-osiossa.
* Korjaus vaatii järjestelmän uudelleenkäynnistyksen asennuksen jälkeen
ainoastaan Word 2000 –version tapauksessa. Muut Word-versiot eivät vaadi
järjestelmän uudelleenkäynnistystä.
* Korjauksen asennuksen voi peruuttaa lukuunottamatta Word 2000 –version
korjausta.
* Korjaus voidaan tunnistaa MBSA-ohjelmiston (Microsoft Baseline Security
Analyzer) versioilla 1.2.1 ja 2.0.
* Korjaus voidaan asentaa SMS-ohjelmiston (Systems Management Server)
avulla.
* Korjaus voidaan asentaa Microsoft Update –sivuston sekä Windows Server
Update Services –palvelun avulla.
* Korjaus tulee saataville Microsoftin Downloads-sivustoon
(https://www.microsoft.com/downloads, linkit yksittäisiin korjauksiin
löytyvät englanninkielisestä tiedotteesta osoitteessa
https://www.microsoft.com/technet/security/Bulletin/MS06-027.mspx).
Haavoittuvuus koskee seuraavia ohjelmistoja:
- Microsoft Office 2000 (Service Pack 3) - Microsoft Word 2000
- Microsoft Office XP (Service Pack 3) – Microsoft Word 2002
- Microsoft Office 2003 (Service Pack 1 ja Service Pack 2) – Microsoft Word
2003 ja Microsoft Word Viewer 2003
- Microsoft Works Suite versiot 2000, 2001, 2002, 2003, 2004, 2005 ja 2006
Haavoittuvuuteen liittyviä lisätietoja ja linkit korjauksen eri versioihin
löytyvät Microsoftin Web-sivustosta seuraavista osoitteista:
https://www.microsoft.com/technet/security/bulletin/ms06-jun.mspx
https://www.microsoft.com/technet/security/Bulletin/MS06-027.mspx
https://support.microsoft.com/kb/917336
Korjauksen luokitus on Kriittinen (Critical). Microsoft suosittelee, että
korjaus asennetaan kaikkiin sellaisiin järjestelmiin, joissa on käytössä
jokin edellä mainituista Word-ohjelmiston versioista.
___________________________________________________________________
MS06-028 Vulnerability in Microsoft PowerPoint Could Allow Remote Code
Execution (916768)
Luokitus: Kriittinen (Critical)
Tiedote MS06-028 koskee Microsoft PowerPoint –esitysgrafiikkaohjelmaa.
Ohjelmasta on löydetty haavoittuvuus, joka liittyy PowerPoint-tiedostojen
tietueiden käsittelyyn. Tietyllä tavalla muotoillun tietueen sisältämän
tiedoston avaaminen saattaa aiheuttaa muistin korruptoitumisen, mikä saattaa
antaa vihamieliselle hyökkääjälle mahdollisuuden suorittaa haluamaansa
ohjelmakoodia kohteena olevassa järjestelmässä (Remote Code Execution
–tyyppinen haavoittuvuus). Vihamielinen hyökkääjä voi hyödyntää
haavoittuvuutta houkuttelemalla käyttäjän avaamaan tietyllä tavalla
muotoillun PowerPoint-tiedoston esimerkiksi Web-sivuston kautta tai
lähettämällä tiedoston käyttäjälle sähköpostin liitteenä.
* Korjaus ei vaadi järjestelmän uudelleenkäynnistystä asennuksen jälkeen.
* Korjauksen asennuksen voi peruuttaa lukuunottamatta PowerPoint 2000
–version korjausta.
* Korjaus voidaan tunnistaa MBSA-ohjelmiston (Microsoft Baseline Security
Analyzer) versioilla 1.2.1 ja 2.0 (ainoastaan Windows-versiot, lisätietoja
on englanninkielisessä tiedotteessa).
* Korjaus voidaan asentaa SMS-ohjelmiston (Systems Management Server)
avulla.
* Korjaus voidaan asentaa Microsoft Update –sivuston sekä Windows Server
Update Services –palvelun avulla.
* Korjaus tulee saataville Microsoftin Downloads-sivustoon
(https://www.microsoft.com/downloads, linkit yksittäisiin korjauksiin
löytyvät englanninkielisestä tiedotteesta osoitteessa
https://www.microsoft.com/technet/security/Bulletin/MS06-028.mspx).
Haavoittuvuus koskee seuraavia ohjelmistoja:
- Microsoft Office 2000 (Service Pack 3) - Microsoft PowerPoint 2000
- Microsoft Office XP (Service Pack 3) – Microsoft PowerPoint 2002
- Microsoft Office 2003 (Service Pack 1 ja Service Pack 2) – Microsoft
PowerPoint 2003
- Microsoft Office 2003 for Mac – Microsoft PowerPoint 2004 for Mac
- Microsoft Office v. X for Mac - Microsoft PowerPoint v. X for Mac
Haavoittuvuuteen liittyviä lisätietoja ja linkit korjauksen eri versioihin
löytyvät Microsoftin Web-sivustosta seuraavista osoitteista:
https://www.microsoft.com/technet/security/bulletin/ms06-jun.mspx
https://www.microsoft.com/technet/security/Bulletin/MS06-028.mspx
https://support.microsoft.com/kb/916768
Korjauksen luokitus on Kriittinen (Critical). Microsoft suosittelee, että
korjaus asennetaan kaikkiin sellaisiin järjestelmiin, joissa on käytössä
jokin edellä mainituista PowerPoint-ohjelmiston versioista.
___________________________________________________________________
MS06-029 Vulnerability in Microsoft Exchange Server Running Outlook Web
Access Could Allow Script Injection (912442)
Luokitus: Tärkeä (Important)
Tiedote MS06-029 koskee Microsoft Exchange –sähköpostipalvelimen Outlook Web
Access –Web-käyttöliittymää (OWA). OWA-käyttöliittymästä on löydetty Script
Injection –tyyppinen haavoittuvuus, jota voidaan hyödyntää suorittamaan
vihamielisen hyökkääjän haluamaa script-muotoista ohjelmakoodia käyttäjän
työasemassa. Haavoittuvuus johtuu siitä, että OWA ei suodata oikein tietyllä
tavalla muotoillun sähköpostiviestin sisältämää script-ohjelmakoodia.
Vihamielinen hyökkääjä voi hyödyntää haavoittuvuutta lähettämällä
käyttäjälle tietyllä tavalla muotoillun script-ohjelmakoodin sisältävän
sähköpostiviestin. Kun käyttäjä lukee sähköpostiviestin OWA-käyttöliittymän
kautta, suoritetaan hyökkääjän haluama script-ohjelmakoodi käyttäjän
työasemassa.
Huomautuksia:
* Tietoturvatiedotteessa kuvattu tietoturvapäivitys sisältää myös
toiminnallisen muutoksen Exchange-palvelimen käyttöoikeuksiin. Muutos koskee
"Full Mailbox Access" -oikeutta ja sen alaisia oikeuksia. Muutoksen jälkeen
"Send As" -oikeutta ei enää automaattisesti anneta käyttäjälle, jolle
myönnetään "Full Mailbox Access" jonkun toisen käyttäjän postilaatikkoon,
vaan "Send As" -oikeus on määritettävä erikseen. Muutos vaikuttaa
esimerkiksi mobiilisähköpostijärjestelmiin, jotka välittävät lähetettäviä
viestejä laitteesta Exchange-palvelimeen ja sen jälkeen lähettävät ne
käyttäjän nimissä, sekä tilanteisiin, joissa käyttäjälle on postilaatikon
asetuksissa annettu oikeus käsitellä ja lähettää toisen käyttäjän puolesta.
Lisätietoja muutoksesta ja sen vaatimista toimista on KB-artikkelissa 912918
osoitteessa https://support.microsoft.com/kb/912918 sekä Microsoftin
tietoturvablogissa osoitteessa
https://blogs.technet.com/tietoturvan_weblogi/archive/2006/05/08/427520.aspx.
* Päivitys ei vaadi järjestelmän uudelleenkäynnistystä asennuksen jälkeen.
* Päivityksen asennus voidaan peruuttaa.
* Päivitys voidaan tunnistaa MBSA-ohjelmiston (Microsoft Baseline Security
Analyzer) versioilla 1.2.1 ja 2.0.
* Päivitys voidaan asentaa SMS-ohjelmiston (Systems Management Server)
avulla.
* Päivitys voidaan asentaa Microsoft Update -sivuston sekä Windows Server
Update Services -palvelun avulla.
* Päivitys tulee saataville Microsoftin Downloads-sivustoon
(https://www.microsoft.com/downloads, linkit yksittäisiin päivityspaketteihin
löytyvät englanninkielisestä tiedotteesta osoitteessa
https://www.microsoft.com/technet/security/Bulletin/MS06-029.mspx).
* Tarkempia tietoja asennus- ja tunnistusmahdollisuuksista päivityksen eri
versioille on englanninkielisessä tiedotteessa.
Haavoittuvuus koskee seuraavia Exchange-palvelimen versioita:
- Microsoft Exchange Server 2000 varustettuna Exchange 2000 Post-Service
Pack 3 Update Rollup of August 2004 -päivityspaketilla (lisätietoja on
KB-artikkelissa 870540 osoitteessa https://support.microsoft.com/kb/870540)
- Microsoft Exchange Server 2003 (Service Pack 1 tai Service Pack 2)
Haavoittuvuuteen liittyviä lisätietoja ja linkit päivityksen eri versioihin
löytyvät Microsoftin Web-sivustosta seuraavista osoitteista:
https://www.microsoft.com/technet/security/bulletin/ms06-jun.mspx
https://www.microsoft.com/technet/security/Bulletin/MS06-029.mspx
https://support.microsoft.com/kb/912442
Korjauksen luokitus on Tärkeä (Important). Microsoft suosittelee, että
korjaus asennetaan kaikkiin sellaisiin järjestelmiin, joissa on käytössä
jokin edellä mainituista Exchange-palvelimen versioista.
___________________________________________________________________
MS06-030 Vulnerability in Server Message Block Could Allow Elevation of
Privilege (914389)
Luokitus: Tärkeä (Important)
Tiedote MS06-030 koskee Microsoftin Server Message Block
–protokollatoteutusta (SMB) ja sen uudempaa versiota, Common Internet File
System –protokollatoteutusta (CIFS). Protokollatoteutuksia käytetään
kommunikointiin tietokoneiden välillä verkon välityksellä, esimerkiksi
tiedostojen siirtoon ja tietojen siirtoon työasemasta tulostuspalvelimelle.
Protokollatoteutuksista on löydetty kaksi haavoittuvuutta, joita
hyödyntämällä vihamielinen hyökkääjä voi joko kohottaa käytössään olevia
käyttöoikeuksia (Elevation of Privilege –tyyppinen haavoittuvuus) tai
aiheuttaa kohdejärjestelmän jumiutumisen (Denial of Service –tyyppinen
haavoittuvuus). Molempia haavoittuvuuksia voidaan hyödyntää ainoastaan
paikallisesti kirjautumalla järjestelmään ja suorittamalla tietyllä tavalla
luotu ohjelmakoodi, ja näin ollen molempien haavoittuvuuksien hyödyntäminen
edellyttää kelvollista käyttäjätunnusta kohteena olevaan järjestelmään.
* Korjaus vaatii järjestelmän uudelleenkäynnistyksen asennuksen jälkeen.
* Korjauksen asennuksen voi peruuttaa.
* Korjaus voidaan tunnistaa MBSA-ohjelmiston (Microsoft Baseline Security
Analyzer) versioilla 1.2.1 ja 2.0.
* Korjaus voidaan asentaa SMS-ohjelmiston (Systems Management Server)
avulla.
* Korjaus voidaan asentaa Windows Update- ja Microsoft Update –sivustojen
sekä Software Update Services- ja Windows Server Update Services –palvelujen
avulla.
* Korjaus tulee saataville Microsoftin Downloads-sivustoon
(https://www.microsoft.com/downloads, linkit yksittäisiin korjauksiin
löytyvät englanninkielisestä tiedotteesta osoitteessa
https://www.microsoft.com/technet/security/Bulletin/MS06-030.mspx).
Haavoittuvuus koskee seuraavia käyttöjärjestelmän versioita:
- Microsoft Windows 2000 (Service Pack 4)
- Microsoft Windows XP (Service Pack 1 ja Service Pack 2)
- Microsoft Windows XP Professional x64 Edition
- Microsoft Windows Server 2003 (alkuperäinen versio ja Service Pack 1)
- Microsoft Windows Server 2003 for Itanium-based Systems (alkuperäinen
Versio ja Service Pack 1)
- Microsoft Windows Server 2003 x64 Edition
Haavoittuvuuteen liittyviä lisätietoja ja linkit korjauksen eri versioihin
löytyvät Microsoftin Web-sivustosta seuraavista osoitteista:
https://www.microsoft.com/technet/security/bulletin/ms06-jun.mspx
https://www.microsoft.com/technet/security/Bulletin/MS06-030.mspx
https://support.microsoft.com/kb/914389
Korjauksen luokitus on Tärkeä (Important). Microsoft suosittelee, että
korjaus asennetaan kaikkiin sellaisiin järjestelmiin, joissa on käytössä
jokin edellä mainituista Windows-käyttöjärjestelmän versioista.
___________________________________________________________________
MS06-031 Vulnerability in RPC Mutual Authentication Could Allow Spoofing
(917736)
Luokitus: Keskitaso (Moderate)
Tiedote MS06-031 koskee Remote Procedure Call –toiminnallisuuden (RPC) ns.
Mutual Authentication –toimintoa, jota tietoliikenneyhteyden osapuolet,
esim. palvelin ja työasema käyttävät tunnistaakseen toisen osapuolen. Mutual
Authentication –toiminnosta on löytynyt haavoittuvuus, joka tulee esille
käytettäessä RPC-yhteyttä ja Mutual Authentication –toimintoa salatun
SSL-yhteyden yli. Vihamielinen hyökkääjä voi hyödyntää haavoittuvuutta
esittääkseen olevansa jokin kelvollinen palvelin (Spoofing-tyyppinen
haavoittuvuus).
Huomautuksia:
* Haavoittuvuus koskee ainoastaan Windows 2000 –käyttöjärjestelmällä
varustettuja järjestelmiä.
* Korjaus vaatii järjestelmän uudelleenkäynnistyksen asennuksen jälkeen.
* Korjauksen asennuksen voi peruuttaa.
* Korjaus voidaan tunnistaa MBSA-ohjelmiston (Microsoft Baseline Security
Analyzer) versioilla 1.2.1 ja 2.0.
* Korjaus voidaan asentaa SMS-ohjelmiston (Systems Management Server)
avulla.
* Korjaus voidaan asentaa Windows Update- ja Microsoft Update –sivustojen
sekä Software Update Services- ja Windows Server Update Services –palvelujen
avulla.
* Korjaus tulee saataville Microsoftin Downloads-sivustoon
(https://www.microsoft.com/downloads, linkit yksittäisiin korjauksiin
löytyvät englanninkielisestä tiedotteesta osoitteessa
https://www.microsoft.com/technet/security/Bulletin/MS06-031.mspx).
Haavoittuvuus koskee seuraavia käyttöjärjestelmän versioita:
- Microsoft Windows 2000 (Service Pack 4)
Haavoittuvuuteen liittyviä lisätietoja ja linkit korjauksen eri versioihin
löytyvät Microsoftin Web-sivustosta seuraavista osoitteista:
https://www.microsoft.com/technet/security/bulletin/ms06-jun.mspx
https://www.microsoft.com/technet/security/Bulletin/MS06-031.mspx
https://support.microsoft.com/kb/917736
Korjauksen luokitus on keskitaso (Moderate). Microsoft suosittelee, että
korjaus asennetaan kaikkiin sellaisiin järjestelmiin, joissa on käytössä
jokin edellä mainituista Windows-käyttöjärjestelmän versioista.
___________________________________________________________________
MS06-032 Vulnerability in TCP/IP Could Allow Remote Code Execution (917953)
Luokitus: Tärkeä (Important)
Tiedote MS06-032 koskee Windowsin TCP/IP-protokollatoteutusta. Toteutuksesta
on löydetty puskuriylivuotohaavoittuvuus, joka liittyy
TCP/IP-protokolla-ajurin tapaan käsitellä IP-lähdereitityspaketteja (IP
Source Routing). Lähdereitityksen avulla verkkopaketin lähettäjä voi
määrittää reitin, jota paketti noudattaa kulkiessaan verkon läpi.
Vihamielinen hyökkääjä voi hyödyntää haavoittuvuutta lähettämällä kohteena
olevalle järjestelmälle tietyllä tavalla muotoillun verkkopaketin, jonka
jälkeen hyökkääjä voi suorittaa haluamaansa ohjelmakoodia kohteena olevassa
järjestelmässä (Remote Code Execution –tyyppinen haavoittuvuus).
Huomautuksia:
* IP-lähdereititys on oletuksena estetty Windows XP Service Pack 2- ja
Windows Server 2003 –järjestelmissä. Haavoittuvuuden aiheuttamaa riskiä
voidaan pienentää poistamalla lähdereititys käytöstä myös muista
Windows-järjestelmistä. Ohjeita löytyy englanninkielisen tiedotteen
Workarounds-osiosta.
* Haavoittuvuuden aiheuttamaa riskiä voidaan pienentää myös estämällä
IP-paketeissa lähdereititysvaihtoehdot 131 ja 137 esim. palomuurissa. Myös
tästä on ohjeita englanninkielisen tiedotteen Workarounds-osiossa.
* Korjaus vaatii järjestelmän uudelleenkäynnistyksen asennuksen jälkeen.
* Korjauksen asennuksen voi peruuttaa.
* Korjaus voidaan tunnistaa MBSA-ohjelmiston (Microsoft Baseline Security
Analyzer) versioilla 1.2.1 ja 2.0.
* Korjaus voidaan asentaa SMS-ohjelmiston (Systems Management Server)
avulla.
* Korjaus voidaan asentaa Windows Update- ja Microsoft Update –sivustojen
sekä Software Update Services- ja Windows Server Update Services –palvelujen
avulla.
* Korjaus tulee saataville Microsoftin Downloads-sivustoon
(https://www.microsoft.com/downloads, linkit yksittäisiin korjauksiin
löytyvät englanninkielisestä tiedotteesta osoitteessa
https://www.microsoft.com/technet/security/Bulletin/MS06-032.mspx).
Haavoittuvuus koskee seuraavia käyttöjärjestelmän versioita:
- Microsoft Windows 2000 (Service Pack 4)
- Microsoft Windows XP (Service Pack 1 ja Service Pack 2)
- Microsoft Windows XP Professional x64 Edition
- Microsoft Windows Server 2003 (alkuperäinen versio ja Service Pack 1)
- Microsoft Windows Server 2003 for Itanium-based Systems (alkuperäinen
Versio ja Service Pack 1)
- Microsoft Windows Server 2003 x64 Edition
Haavoittuvuuteen liittyviä lisätietoja ja linkit korjauksen eri versioihin
löytyvät Microsoftin Web-sivustosta seuraavista osoitteista:
https://www.microsoft.com/technet/security/bulletin/ms06-jun.mspx
https://www.microsoft.com/technet/security/Bulletin/MS06-032.mspx
https://support.microsoft.com/kb/917953
Korjauksen luokitus on Tärkeä (Important). Microsoft suosittelee, että
korjaus asennetaan kaikkiin sellaisiin järjestelmiin, joissa on käytössä
jokin edellä mainituista Windows-käyttöjärjestelmän versioista.
========================================
3. Päivitetty tietoturvatiedote MS06-011
========================================
Microsoft julkaisi maaliskuussa 2006 tietoturvatiedotteen MS06-011, joka
koski Windowsin palvelujen käyttöoikeuksien kiristämistä. Tämän kuun
päivitys tiedotteeseen koskee kolmea uutta palvelua (NetBT, RemoteAccess ja
TCP/IP), joiden käyttöoikeuksia on muutettu niin, että Windows XP Service
Pack 1 -järjestelmien käyttöoikeudet on muutettu vastaamaan Service Pack 2
-päivityspaketissa määritettyjä käyttöoikeuksia, ja Windows Server 2003:n
alkuperäisen versiot palvelujen käyttöoikeudet on muutettu vastaamaan
Service Pack 1 -päivityspaketissa määritettyjä käyttöoikeuksia.
Mikäli käytössä on Windows XP -järjestelmä, jossa on Service Pack 1, tai Windows Server 2003 -järjestelmä, johon ei ole asennettu Service Pack 1 -päivityspakettia, suositellaan lataamaan ja asentamaan näihin järjestelmiin päivitetyn tiedotteen mukainen korjaus.
Tiedotteesta löytyy lisätietoja osoitteista
https://www.microsoft.com/technet/security/Bulletin/MS06-011.mspx ja