Security Advisory 980088 - haavoittuvuus Internet Explorerissa

Microsoft on julkaissut uuden Security Advisoryn 980088 otsikolla Vulnerability in Internet Explorer Could Allow Information Disclosure. Advisory koskee Internet Exploreria ja saattaa antaa vihamieliselle hyökkääjälle mahdollisuuden nähdä käyttäjän koneelle tallennettuja tiedostoja. Haavoittuvuusraportit ovat MSRC:n tiedossa ja siihen ollaan parhaillaan tekemässä korjausta.

Haavoittuvuus koskee tämän hetkisen tiedon mukaan kaikkia tuettuja Internet Explorerin -versioita, mutta kannatta huomata, että Internet Explorerin versioissa 7 ja 8, kun niitä käytetään joko Windows Vistassa tai Windows 7:ssa, on oletuksena käytössä suojattu tila, eli ns. Protected Mode, joka vaikeuttaa haavoittuvuuden hyödyntämistä. Haavoittuvuus itsessään liittyy siihe, miten Internet Explorer käsittelee paikallisesti tallennettuja tiedostoja. Tietyissä tilanteissa, jos ulkopuolisen hyökkääjän tiedossa on käytttäjän koneelle tallennetun paikallisen tiedoston nimi ja polku, hän voi "kutsua" tiedostoa Internet Explorerissa, jolloin IE mahdollisesti renderöi tiedoston sisällön. Vihamielinen hyökkääjä voi hyödyntää haavoittuvuutta asettamalla jollekin webbisivulle oikealla polulla ja tiedoston nimellä varustetun file://-linkin ja sen jälkeen houkutella käyttäjän kyseiselle sivulle. Tämä saattaa antaa mahdollisuuden hyökkäjälle nähdä tiedoston sisällön. Kyseessä on siis ns. Information Disclosure -tyyppinen haavoittuvuus - haavoittuvuus ei anna hyökkääjälle mahdollisuutta suorittaa haluamaansa ohjelmakoodia kohteena olevassa järjestelmässä.

Kuten edellä mainitsin, Protected Mode -tila Internet Explorerin versioissa 7 ja 8 (Windows Vista ja Windows 7) estää file-tyyppisten linkkien käyttämisen Internet-vyöhykkeessä. Internet Explorerin versiossa 6 ja Windows XP:ssä ei Protected Mode -tilaa ole, mutta sielläkin voidaan file-protokollan käyttö estää, ja tämän määrityksen tekemistä varten on olemassa myös ns. Fix It -linkki.  

Haavoittuvuuteen ei siis vielä ole korjausta saatavilla - mitä voin tehdä haavoittuvuuden aiheuttaman riskin pienentämiseksi? No, ihan ensimmäisenä kannattaa lukaista itse Advisory - Advisoryn loppuosassa, kohdan Workarounds alla on dokumentoitu joitakin keinoja, joilla haavoittuvuuden aiheuttamaa riskiä voidaan pienentää. Keinot liittyvät Internet Explorerin tietoturva-asetusten muuttamiseen tai file-tyyppisten linkkien käytön estämiseen. Tähän on olemassa myös ns. Fix It -toiminto, joka löytyy KB-artikkelista 980088.