Syyskuun tietoturvatiedotteiden kooste
=============
1. Yhteenveto
=============
Luokitukseltaan kriittiset (Critical) tietoturvatiedotteet:
MS06-054 Haavoittuvuus Microsoft Publisher -sovelluksessa (910729)
Luokitukseltaan tärkeät (Important) tietoturvatiedotteet:
MS06-052 Haavoittuvuus Windows XP:n PGM-protokollatoteutuksessa (919007)
Luokitukseltaan keskitason (Moderate) tietoturvatiedotteet:
MS06-053 Haavoittuvuus Indexing-palvelussa (920685)
Käyttöjärjestelmät, joita tiedotteet koskevat:
=================================================
| Tiedote | Windows | Windows | Windows Server |
| | 2000 | XP | 2003 |
-------------------------------------------------
| MS06-052 | | XXXX | |
-------------------------------------------------
| MS06-053 | XXXX | XXXX | XXXX |
=================================================
Edellisten lisäksi tiedote MS06-054 koskee Microsoft Publisher -sovelluksen versioita 2000, 2002 ja 2003.
Tietoja Microsoftin tietoturvatiedotteisiin liittyvästä tiedottamisesta
löytyy osoitteesta https://www.microsoft.com/finland/security/info/. Yleisiä
huomioita tietoturvatiedotteista löytyy osoitteesta
https://www.microsoft.com/finland/security/info/bulletins.asp. Ajankohtaista
tietoa löytyy myös Suomen Microsoftin tietoturvablogista osoitteessa
https://blogs.technet.com/tietoturvan_weblogi/.
========================================
2. Kooste uusista tietoturvatiedotteista
========================================
MS06-052 - Vulnerability in Pragmatic General Multicast (PGM) Could Allow Remote Code Execution (919007)
Luokitus: Tärkeä (Important)
Tiedote MS06-052 koskee Windows XP -käyttöjärjestelmän PGM-protokollatoteutusta (Pragmatic General Multicast). PGM on RFC 3208 -määrityksen mukainen ns. Reliable Multicast -protokolla, jonka avulla on mahdollista toteuttaa luotettavia multicast-lähetyksiä. Protokollatoteutuksesta on löydetty muistinkäsittelyyn liittyvä haavoittuvuus, joka antaa vihamieliselle hyökkääjälle mahdollisuuden suorittaa haluamaansa ohjelmakoodia kohteena olevassa tietojärjestelmässä (Remote Code Execution –tyyppinen haavoittuvuus). Hyökkääjä voi hyödyntää haavoittuvuutta lähettämällä kohteena olevalle järjestelmälle tietyllä tavalla muotoillun verkkopaketin.
Huomautuksia:
* Haavoittuvuus koskee ainoastaan Windows XP -käyttöjärjestelmän 32-bittisiä versioita. Windows XP:n 64-bittisen version PGM-toteutus perustuu Windows Server 2003:n toteutukseen, eikä sisällä kyseistä haavoittuvuutta.
* Haavoittuvuus koskee ainoastaan Windows XP -käyttöjärjestelmiä, joissa on otettu käyttöön käyttöjärjestelmän mukana toimitettava Microsoft Message Queuing -palvelu (MSMQ 3.0). Palvelu ei ole oletuksena käytössä.
* Korjaus vaatii järjestelmän uudelleenkäynnistyksen asennuksen jälkeen.
* Korjauksen asennuksen voi peruuttaa.
* Korjaus voidaan tunnistaa MBSA-ohjelmiston (Microsoft Baseline Security Analyzer) versioilla 1.2.1 ja 2.0.
* Korjaus voidaan asentaa SMS-ohjelmiston (Systems Management Server) avulla.
* Korjaus voidaan asentaa Windows Update- ja Microsoft Update -sivustojen
sekä Software Update Services- ja Windows Server Update Services –palvelujen avulla.
* Korjaus tulee saataville Microsoftin Downloads-sivustoon
(https://www.microsoft.com/downloads, linkit yksittäisiin korjauksiin
löytyvät englanninkielisestä tiedotteesta osoitteessa
https://www.microsoft.com/technet/security/Bulletin/MS06-052.mspx).
* Tarkempia tietoja asennus- ja tunnistusmahdollisuuksista korjauksen eri versioille on englanninkielisessä tiedotteessa.
Haavoittuvuus koskee seuraavia käyttöjärjestelmiä:
- Microsoft Windows XP (Service Pack 1 ja Service Pack 2)
Haavoittuvuus EI koske seuraavia käyttöjärjestelmiä:
- Microsoft Windows 2000 (Service Pack 4)
- Microsoft Windows XP Professional x64 Edition
- Microsoft Windows Server 2003 (alkuperäinen versio ja Service Pack 1)
- Microsoft Windows Server 2003 for Itanium-based Systems (alkuperäinen versio ja Service Pack 1)
- Microsoft Windows Server 2003 x64 Edition
Haavoittuvuuteen liittyviä lisätietoja ja linkit korjauksen eri versioihin
löytyvät Microsoftin Web-sivustosta seuraavista osoitteista:
https://www.microsoft.com/technet/security/bulletin/ms06-sep.mspx
https://www.microsoft.com/technet/security/Bulletin/MS06-052.mspx
https://support.microsoft.com/kb/919007
------------------------------------------------------------
MS06-053 Vulnerability in Indexing Service Could Allow Cross-Site Scripting (920685)
Luokitus: Keskitaso (Moderate)
Tiedote MS06-053 koskee Windows-käyttöjärjestelmän mukana toimitettavaa Indexing Service -palvelua. Palvelusta on löydetty kaksi haavoittuvuutta, joka liittyy palvelun tapaan tarkastaa sille välitetyn kyselyn parametrit. Haavoittuvuus antaa vihamieliselle hyökkääjälle mahdollisuuden saada käyttöönsä tietoa, joka ei ole tarkoitettu hänen käyttöönsä (Information Disclosure -tyyppinen haavoittuvuus) käyttämällä haavoittuvuutta Cross-Site Scripting -tyyppiseen hyökkäykseen.
Huomautuksia:
* Haavoittuvuuden aiheuttamaa riskiä voidaan pienentää poistamalla Indexing-palvelu käytöstä. On huomattava, että Indexing- ja Internet Information Services -palvelut eivät ole oletuksena käytössä Windows XP- tai Windows Server 2003 -käyttöjärjestelmällä varustetuissa järjestelmissä. Lisäksi Indexing-palvelua ei voi oletuksena hyödyntää IIS-palvelun kautta Windows Server 2003 -käyttöjärjestelmällä varustetuissa järjestelmissä - palvelu on erikseen määritettävä käyttöön.
* Haavoittuvuuden aiheuttamaa riskiä voidaan Windows 2000 -järjestelmissä pienentää myös käyttämällä URLScan-toiminnallisuutta tai poistamalla Index Server -palvelun ISAPI-laajennuksen Script Mappings -määritykset käytöstä. Lisätietoja on englanninkielisen tiedotteen Workarounds-osiossa.
* Korjaus ei vaadi järjestelmän uudelleenkäynnistystä asennuksen jälkeen.
* Korjauksen asennuksen voi peruuttaa.
* Korjaus voidaan tunnistaa MBSA-ohjelmiston (Microsoft Baseline Security
Analyzer) versioilla 1.2.1 ja 2.0.
* Korjaus voidaan asentaa SMS-ohjelmiston (Systems Management Server)
avulla.
* Korjaus voidaan asentaa Windows Update- ja Microsoft Update -sivustojen
sekä Software Update Services- ja Windows Server Update Services –palvelujen
avulla.
* Korjaus tulee saataville Microsoftin Downloads-sivustoon
(https://www.microsoft.com/downloads, linkit yksittäisiin korjauksiin
löytyvät englanninkielisestä tiedotteesta osoitteessa
https://www.microsoft.com/technet/security/Bulletin/MS06-053.mspx).
* Tarkempia tietoja asennus- ja tunnistusmahdollisuuksista korjauksen eri versioille on englanninkielisessä tiedotteessa.
Haavoittuvuus koskee seuraavia käyttöjärjestelmiä:
- Microsoft Windows 2000 (Service Pack 4)
- Microsoft Windows XP (Service Pack 1 ja Service Pack 2)
- Microsoft Windows XP Professional x64 Edition
- Microsoft Windows Server 2003 (alkuperäinen versio ja Service Pack 1)
- Microsoft Windows Server 2003 for Itanium-based Systems (alkuperäinen versio ja Service Pack 1)
- Microsoft Windows Server 2003 x64 Edition
Haavoittuvuuteen liittyviä lisätietoja ja linkit korjauksen eri versioihin
löytyvät Microsoftin Web-sivustosta seuraavista osoitteista:
https://www.microsoft.com/technet/security/bulletin/ms06-sep.mspx
https://www.microsoft.com/technet/security/Bulletin/MS06-053.mspx
https://support.microsoft.com/kb/920685
------------------------------------------------------------
MS06-054 Vulnerability in Microsoft Publisher Could Allow Remote Code Execution (910729)
Luokitus: Kriittinen (Critical)
Tiedote MS06-054 koskee Microsoftin Publisher-sovellusta. Tiedotteessa kuvattu päivitys korjaa Publisherista haavoittuvuuden, joka antaa hyökkääjälle mahdollisuuden suorittaa haluamaansa ohjelmakoodia kohteena olevassa järjestelmässä (Remote Code Execution –tyyppinen haavoittuvuus). Hyökkääjä voi hyödyntää haavoittuvuutta houkuttelemalla käyttäjän avaamaan jollain web-sivulla olevan tietyllä tavalla muotoillun Publisher-tiedoston tai välittämällä tiedoston käyttäjälle sähköpostin välityksellä. Kun käyttäjä avaa tiedoston, aiheuttaa tiedoston käsitteleminen Publisherissa muistin korruptoitumisen, jolloin hyökkääjä pääsee suorittamaan haluamaansa ohjelmakoodia. Ohjelmakoodi suoritetaan järjestelmään kirjautuneen käyttäjän käyttöoikeuksilla.
* Korjaus ei vaadi järjestelmän uudelleenkäynnistystä asennuksen jälkeen edellyttäen, että korjattavat komponentit eivät ole käytössä asennuksen aikana. Lisätietoja on Microsoftin Knowledge Base –artikkelissa 887012 osoitteessa https://support.microsoft.com/kb/887012.
* Korjauksen asennuksen voi peruuttaa Publisher 2003- ja Publisher 2002 –versioissa. Muissa versiossa korjauksen asennusta ei voi peruuttaa.
* Korjaus voidaan tunnistaa MBSA-ohjelmiston (Microsoft Baseline Security Analyzer) versioilla 1.2.1 ja 2.0 osan Publisher-versioiden osalta. Lisätietoja on englanninkielisessä tiedotteessa.
* Korjaus voidaan asentaa SMS-ohjelmiston (Systems Management Server) avulla.
* Korjaus tulee saataville Microsoftin Downloads-sivustoon (https://www.microsoft.com/downloads, linkit yksittäisiin korjauksiin löytyvät englanninkielisestä tiedotteesta osoitteessa https://www.microsoft.com/technet/security/Bulletin/MS06-054.mspx).
Haavoittuvuus koskee seuraavia ohjelmistoja:
- Microsoft Office 2003 (Service Pack 1 ja Service Pack 2)
- Office Publisher 2003
- Microsoft Office XP (Service Pack 3)
- Office Publisher 2002
- Microsoft Office 2000 (Service Pack 3)
- Office Publisher 2000
Haavoittuvuuteen liittyviä lisätietoja ja linkit korjauksen eri versioihin
löytyvät Microsoftin Web-sivustosta seuraavista osoitteista:
https://www.microsoft.com/technet/security/bulletin/ms06-sep.mspx
https://www.microsoft.com/technet/security/Bulletin/MS06-054.mspx