Microsoft on eilen illalla Suomen aikaa julkistanut kuukausittaisen aikataulun mukaisesti kaksi (2) uutta tietoturvatiedotetta:

MS05-054 - Cumulative Security Update for Internet Explorer (905915)
Luokitus: Kriittinen (Critical)

Tiedote MS05-054 sisältää korjauksen neljään Microsoftin Internet Explorer -selainohjelmasta löytyneeseen haavoittuvuuteen:

Ensimmäinen haavoittuvuus liittyy tapaan, jolla Internet Explorer tuo näkyviin tiedostolatauksista ilmoittavan valintaikkunan. Vihamielinen hyökkääjä voi hyödyntää haavoittuvuutta luomalla tietyllä tavalla muotoillun Web-sivun ja houkuttelemalla käyttäjän sivulle. Haavoittuvuus antaa hyökkääjälle mahdollisuuden suorittaa haluamaansa ohjelmakoodia kohteena olevassa järjestelmässä (Remote Code Execution tyyppinen haavoittuvuus).

Toinen haavoittuvuuksista liittyy Internet Explorerin tapaan välittää tietoja joillekin HTTPS-välityspalvelimille, kun palvelin edellyttää käyttäjältä Basic-käyttäjätunnistusta. Vihamielinen hyökkääjä voi haavoittuvuuuden ansiosta nähdä välityspalvelimelle välitettyjä Web-osoitteita huolimatta siitä, että yhteys on suojattu HTTPS-yhteys (Information Disclosure tyyppinen haavoittuvuus).

Kolmas haavoittuvuus liittyy muistin korruptoitumiseen käytettäessä joitakin COM-objekteja Internet Explorerin välityksellä. Tietoturvatiedotteiden MS05-038 ja MS05-052 yhteydessä estettiin joidenkin COM-komponenttien käyttö Internet Explorerin välityksellä asettamalla näille objekteille rekisteriin ns. "kill-bitti" (lisätietoja kill-biteistä ja niiden käytöstä on Microsoftin KB-artikkelissa 240797 osoitteessa http://support.microsoft.com/kb/240797). Tässä päivityksessä asetetaan kill-bitti aiempien lisäksi myös First4Internetin tekemän XCP-ohjelmiston ActiveX-poistokomponentille. Tämän lisäksi päivitys sisältää myös kaikki aiemmissa kahdessa tiedotteessa asetetut kill-bitit.

Neljäs haavoittuvuus liittyy Internet Explorerin tapaan käsitellä joitakin DOM-objektimallin (Document Object Model) objekteja yhdessä, esimerkiksi window-objektin käyttöä Web-sivulla olevassa onLoad-tapahtumakäsittelijässä. Haavoittuvuudesta on aiemmin julkaistu Security Advisory 911302 (http://www.microsoft.com/technet/security/advisory/911302.mspx), jossa kerrotaan tietoja haavoittuvuudesta ja joitakin keinoja sen aiheuttaman riskin pienentämiseen. Tähän tiedotteeseen liittyvä päivitys korjaa haavoittuvuuden. Haavoittuvuus antaa hyökkääjälle mahdollisuuden suorittaa haluamaansa ohjelmakoodia kohteena olevassa järjestelmässä (Remote Code Execution tyyppinen haavoittuvuus).

Edellä kuvattujen haavoittuvuuksien korjausten lisäksi korjauspaketti sisältää myös aiemmissa IE:n kumulatiivisissa korjauspaketeissa julkaistuja muutoksia, mm. kaikki tiedotteissa MS05-038 ja MS05-052 kuvatut kill-bitit, sekä muutoksia COM-objektien käsittelyyn. Lisätietoja jälkimmäisistä muutoksista on KB-artikkeleissa 909889, 909738 ja 906294 osoitteissa http://support.microsoft.com/kb/909889, http://support.microsoft.com/kb/909738 ja http://support.microsoft.com/kb/906294/.

Huomautuksia:
- Haavoittuvuuksien aiheuttamaa riskiä voidaan pienentää käyttämällä Internet Explorerin vyöhyke- ja tietoturva-asetuksia. Myös näistä keinoista on yksityiskohtaisia ohjeita englanninkielisen tietoturvatiedotteen Workarounds-osioissa.

* Korjaus vaatii järjestelmän uudelleenkäynnistyksen asennuksen jälkeen.
* Korjauksen asennus voidaan peruuttaa.

Haavoittuvuus koskee seuraavia käyttöjärjestelmiä:
- Microsoft Windows 2000 (Service Pack 4)
- Microsoft Windows XP (Service Pack 1 ja Service Pack 2)
- Microsoft Windows XP Professional x64 Edition
- Microsoft Windows Server 2003 (alkuperäinen versio ja Service Pack 1)
- Microsoft Windows Server 2003 for Itanium-based Systems (alkuperäinen versio ja Service Pack 1)
- Microsoft Windows Server 2003 x64 Edition
- Microsoft Windows 98, Microsoft Windows 98 Second Edition (SE), and Microsoft Windows Millennium Edition (ME)
Lisätietoja on tiedotteen FAQ-osiossa.

Korjaus on saatavana seuraaville Internet Explorerin versiolle em. käyttöjärjestelmäversioissa:
- Internet Explorer 5.01 (Service Pack 4) - käyttöjärjestelmä: Windows 2000 Service Pack 4
- Internet Explorer 6 (Service Pack 1) - käyttöjärjestelmä: Microsoft Windows 2000 Service Pack 4 tai Microsoft Windows XP Service Pack 1
- Internet Explorer 6 for Windows XP Service Pack 2
- Internet Explorer 6 for Windows Server 2003 (alkuperäinen versio ja Service Pack 1)
- Internet Explorer 6 for Windows Server 2003 for Itanium-based Systems (alkuperäinen versio ja Service Pack 1)
- Internet Explorer 6 for Microsoft Windows Server 2003 x64 Edition
- Internet Explorer 6 for Microsoft Windows XP Professional x64 Edition
- Internet Explorer 5.5 (Service Pack 2) - käyttöjärjestelmä: Microsoft Windows Millennium Edition
lisätietoja on tiedotteen FAQ-osiossa.
- Internet Explorer 6 (Service Pack 1) - käyttöjärjestelmä: Microsoft Windows 98, Microsoft Windows 98 SE tai Microsoft Windows Millennium Edition - lisätietoja on tiedotteen FAQ-osiossa.

Tiedotteessa kuvattuun haavoittuvuuteen on olemassa korjaus, joka on ladattavissa sivustoista http://update.microsoft.com/microsoftupdate ja http://www.microsoft.com/downloads. Korjaus ja haavoittuvuuksiin liittyviä lisätietoja löytyvät myös Microsoftin Web-sivustosta seuraavista osoitteista:

http://www.microsoft.com/technet/security/bulletin/ms05-dec.mspx
http://www.microsoft.com/technet/security/Bulletin/MS05-054.mspx
http://support.microsoft.com/kb/905915

Korjauksen luokitus on Kriittinen (Critical). Microsoft suosittelee, että korjaus asennetaan kaikkiin sellaisiin järjestelmiin, joissa on käytössä jokin edellä mainituista Windows-käyttöjärjestelmän ja Internet Explorer -selaimen versioista.


MS05-055 - Vulnerabilities in Windows Kernel Could Allow Elevation of Privilege (908523)
Luokitus: Tärkeä (Important)

Tiedote MS05-055 liittyy Windows 2000
käyttöjärjestelmän tapaan käsitellä asynkronisia proseduurikutsuja (APC, Asynchronous Procedure Call). Haavoittuvuus antaa vihamieliselle hyökkääjälle kasvattaa kohteena olevassa tietojärjestelmässä käytössä olevia käyttöoikeuksiaan (Elevation of Privilege tyyppinen haavoittuvuus).

Huomautuksia:
- Haavoittuvuuuden hyödyntäminen edellyttää, että vihamielinen hyökkääjä voi kirjautua kohteena olevaan järjestelmään, eli hyökkääjällä on oltava kelvollinen käyttäjätunnus ja salasana kohteena olevaan tietojärjestelmään. Haavoittuvuutta ei voi hyödyntää ilman kelvollista käyttäjätunnusta tai verkon välityksellä.

* Korjaus vaatii järjestelmän uudelleenkäynnistyksen asennuksen jälkeen.
* Korjauksen asennuksen voi peruuttaa.

Haavoittuvuus koskee seuraavia tuotteita:
- Microsoft Windows 2000 (Service Pack 4)

Haavoittuvuus EI koske seuravia tuotteita:
- Microsoft Windows XP (Service Pack 1 ja Service Pack 2)
- Microsoft Windows XP Professional x64 Edition
- Microsoft Windows Server 2003 (alkuperäinen versio ja Service Pack 1)
- Microsoft Windows Server 2003 for Itanium-based Systems (alkuperäinen versio ja Service Pack 1)
- Microsoft Windows Server 2003 x64 Edition
- Microsoft Windows 98, Microsoft Windows 98 Second Edition (SE) ja Microsoft Windows Millennium Edition (ME)

Tiedotteessa kuvattuihin haavoittuvuuksiin on olemassa korjaus, joka on ladattavissa sivustoista
http://update.microsoft.com/microsoftupdate ja http://www.microsoft.com/downloads. Korjaus ja haavoittuvuuksiin liittyviä lisätietoja löytyvät myös Microsoftin Web-sivustosta seuraavista osoitteista:

http://www.microsoft.com/technet/security/bulletin/ms05-dec.mspx
http://www.microsoft.com/technet/security/bulletin/MS05-055.mspx
http://support.microsoft.com/kb/908523

Korjauksen luokitus on Tärkeä (Important). Microsoft suosittelee, että korjaus asennetaan kaikkiin sellaisiin järjestelmiin, joissa on käytössä jokin edellä mainituista Windows-käyttöjärjestelmän versioista.