Microsoft-tietoturvan weblogi

Ennakkotieto helmikuun 2012 tietoturvatiedotteista

KimmoBergius — Mon, 13 Feb 2012 07:25:17 GMT

Microsoftin Security Response Center julkaisi torstaina 9.2.2012 ennakkotiedon helmikuun 2012 normaalin aikataulun puitteissa julkaistavista tietoturvatiedotteista. Tiistaina 14.2. julkaistaan tämän hetkisen tiedon mukaan 9 uutta tietoturvatiedotetta:

tiedotteista neljä on luokitukseltaan kriittisiä (Critical)
muut viisi tiedotetta ovat luokitukseltaan tärkeitä (Important)
tiedotteista kuusi koskee Windowsin eri tuettuja versioita, ja yksi näistä koskee myös Silverlightin versiota 4.0
yksi tiedote koskee Internet Explorer -selainta
yksi tiedote koskee SharePoint-palvelinta
yksi tiedote koskee Visio-ohjelmistoa
tiedotteissa on korjattu kaikkiaan 21 eri haavoittuvuutta.

Lisätietoja löytyy MSRC:n blogista sekä varsinaisesta ennakkotiedotteesta. Ennakkotiedotteen voi myös tilata omaan sähköpostiin osoitteessa http://technet.microsoft.com/fi-fi/security/dd252948.

Tammikuun 2012 tietoturvatiedotteet

KimmoBergius — Wed, 11 Jan 2012 04:10:31 GMT

Microsoft julkaisi eilen 10.1.2012 vuoden ensimmäiset tietoturvatiedotteet. Kuten viime torstaina julkaistussa ennakkotiedotteessa todettiin, tässä kuussa tuli ulos seitsemän uutta tietoturvatiedotetta, joista kuusi koskee Windowsin eri tuettuja versioita ja seitsemäs Microsoftin kehitysympäristöjä. Windowsia koskevista tiedotteista yksi on luokitukseltaan kriittinen ja loput kuusi tiedotetta luokitukseltaan tärkeitä. Yhteenveto tiedotteista:

Kuten aikaisempinakin kuukausina, tiedotteet on myös jaettu prioriteettijärjestykseen:

Microsoftin Security Response Center järjestää tiedotteista webcastin tänään illalla n. klo 21.00 Suomen aikaa. Webcastiin pääsee ilmoittautumaan täällä. Saman sivuston kautta voit myös hakea ja katsoa aiempien kuukausien tiedotteita koskevia webcasteja.

Lisätietoja tiedotteista löytyy MSRC:n blogista sekä varsinaisesta tiedotekoosteesta. Kannattaa käydä vilkaisemassa myös Security Research and Defense -blogia, josta löytyy teknisempiä lisätietoja tiedotteista.

Ennakkotieto tammikuun 2012 tietoturvatiedotteista

KimmoBergius — Fri, 06 Jan 2012 10:57:50 GMT

Microsoftin Security Response Center julkaisi eilen 5.1.2012 ennakkotiedon tammikuun 2012 normaalin aikataulun puitteissa julkaistavista tietoturvatiedotteista. Tulevan viikon tiistaina 10.1. julkaistaan tämän hetken tiedon mukaan 7 uutta tietoturvatiedotetta:

tiedotteista yksi on luokitukseltaan kriittinen (Critical)
muut kuusi tiedotetta ovat luokitukseltaan tärkeitä (Important)
tiedotteista kuusi koskee Windowsin eri tuettuja versioita
seitsemäs tiedote koskee Microsoftin kehitystyökaluja
tiedotteissa on korjattu kaikkiaan kahdeksan eri haavoittuvuutta.

Lisätietoja löytyy MSRC:n blogista sekä varsinaisesta ennakkotiedotteesta. Ennakkotiedotteen voi myös tilata omaan sähköpostiin osoitteessa http://technet.microsoft.com/fi-fi/security/dd252948.

Lisähuomio tietoturvatiedotteesta MS11-100

KimmoBergius — Fri, 30 Dec 2011 13:04:00 GMT

Edellisessä tiedotetta MS11-100 käsittelevässä blogipostauksessa mainitsin päivityksen testaamisesta. Testauksen tärkeyttä ei voi liikaa korostaa – kaikkien vähäänkään kriittisempien webbipalvelimien osalta tämä päivitys on testattava huolella, koska sen asentaminen vaikuttaa mm. käyttäjätunnistuksen toimintaan, erityisesti käytettäessä lomakepohjaista tunnistusta (Forms Based Authentication). Lisäksi kannattaa huomioida myös tiedotteessa haavoittuvuuden CVE-2011-3416 kohdalla mainittu seikka palvelinfarmeista (web-palvelimista, joissa useita palvelimia on määritetty jonkin kuormanjakomenetelmän (esim. NLB) välityksellä palvelemaan samaa web-sivustoa):

If my website uses a web farm, will I need to update all the computers in the web farm?

Yes. This update changes the format of the forms authentication ticket in a way that is incompatible with the earlier format. This means that tickets generated by using the new behavior cannot be read by computers using the old behavior, and vice versa.Administrators whose applications use forms-based authentication must take specific steps when deploying this security update to ensure that all of their servers switch to the new behavior simultaneously.

For more information, see the Microsoft TechNet Article 2659968.

Is it possible to update the computers in my web farm one at a time instead of all at the same time?

Yes. If it is not feasible to deploy MS11-100 to all the servers in a given web farm simultaneously, you can set a compatibility switch in your web.config or machine.config file before installing the update to force the old behavior after the update is installed. The compatibility switch to use is as follows:

<appSettings>
<add key="aspnet:UseLegacyFormsAuthenticationTicketCompatibility" value="true" />
</appSettings>

Setting this switch will allow web farms with only some machines updated to continue functioning correctly. However, it is important to know that computers with the configuration switch set will be in an insecure state, and will not benefit from the fix in this security update. After MS11-100 has been deployed to all the computers in a farm, the configuration switch must be removed to enable the new, secure behavior.

On siis huomattava, että joko farmin kaikissa palvelimissa on otettava päivitys käyttöön samanaikaisesti, tai sitten käytettävä tuota jälkimmäistä menetelmää. Lisätietoja löytyy KB-artikkelista 2659968 osoitteessa http://support.microsoft.com/kb/2659968 ja KB-artikkelista 2638420 osoitteessa http://support.microsoft.com/kb/2638420.

Tietoturvatiedote MS11-100 julkaistu normaalin aikataulun ulkopuolella

KimmoBergius — Fri, 30 Dec 2011 06:24:00 GMT

Microsoft julkaisi tietoturvatiedotteen MS11-100 normaalista aikataulusta poiketen eilen illalla 29.12.2011 n. klo 20.00 Suomen aikaa. Tietoturvatiedote koskee .NET Frameworkin ASP.NET-kirjastoa ja siinä on korjattu neljä eri haavoittuvuutta, mm. Security Advisoryssä 2659883 kuvattu Hash Table -toiminnallisuuteen liittyvä haavoittuvuus, joka on myös ollut julkisesti tiedossa ennen tiedotteen julkaisemista. Tiedote on luokitukseltaan kriittinen ja Microsoft suosittelee, että se asennetaan mahdollisimman nopeasti, erityisesti järjestelmiin, joihin on asennettu jokin tuetuista .NET Frameworkin versioista ja joissa käytetään Internet Information Services -web-palvelua ja joissa suoritetaan ASP.NET-sovelluksia.

Tiedote koskee seuraavia .NET Frameworkin versioita:
- Microsoft .NET Framework 1.1 (Service Pack 1)
- Microsoft .NET Framework 2.0 (Service Pack 2)
- Microsoft .NET Framework 3.5 (Service Pack 1)
- Microsoft .NET Framework 3.51
- Microsoft .NET Framework 4

Lisätietoja löytyy seuraavista lähteistä:
- Varsinainen tiedote MS11-100
- MSRC:n blogi
- Security Research and Defense -blogi
- Scott Guthrien ASP.NET-blogi

Muutama huomio tästä tietoturvatiedotteesta ja siihen liittyvistä päivityksistä:

Haavoittuvuudet sijaitsevat siis ASP.NET-toiminnallisuudessa sekä ASP.NET-kirjastoissa, jotka ovat osa .NET Frameworkkia. Näin ollen päivitystä tarjotaan kaikkiin järjestelmiin, joihin on asennettu jokin edellä mainituista .NET Frameworkin versioista.
Haavoittuvuuksia voi kuitenkin hyödyntää ainoastaan, jos järjestelmässä on jokin sovellus, joka hyödyntää ASP.NET-toiminnallisuutta. Yleensä ASP.NET-sovellus vaatii, että järjestelmässä on Internet Information Server -web-palvelu. IIS-palvelu ei ole oletuksena käytössä missään Windowsin versiossa, eikä ASP.NET-toiminnallisuutta myöskään käytetä oletuksena.
Edellä mainituista seikoista johtuen Microsoft suosittelee, että päivitys asennetaan mahdollisimman nopeasti vähintäänkin järjestelmiin, joissa IIS-palvelu on asennettuna ja käytössä. Toki korjaus kannattaa asentaa kaikkiin järjestelmiin, joihin on asennettu jokin edellä mainituista .NET Frameworkin versioista, mutta ASP.NET-sovelluksia pyörittävät ja IIS-palvelulla varustetut järjestelmät ovat kaikkein kriittisimpiä.
Kannattaa myös muistaa, että samaan järjestelmään voi olla ja usein onkin asennettuna useita eri versioita .NET Frameworkista. Kaikkiin tuettuihin .NET Frameworkin versioihin on olemassa omat päivityksensä, ja päivitys on asennettava jokaiseen järjestelmään asennettuun .NET Frameworkin versioon. Tämä on erityisen tärkeää silloin, kun päivitysten tunnistamiseen ja jakeluun käytetään jotain muuta kuin Microsoftin tunnistus- tai jakelumenetelmää. Microsoftin tarjoamat tunnistus- ja jakelumenetelmät (esim. MBSA, Microsoft Update ja WSUS) tunnistavat eri .NET Frameworkin versiot automaattisesti ja asentavat niille tarvittavat päivitykset, mutta näin ei välttämättä ole, jos käytetään jotain muita menetelmiä.
.NET Frameworkista on myös versioita, joita ei enää tueta. Nämä versiot on syytä poistaa ja varmistaa, että järjestelmään on asennettu vain versioita, joita edelleen tuetaan.
Ennen päivitysten käyttöönottoa niiden toimivuus on syytä huolellisesti testata, jotta voidaan varmistaa, että muutokset eivät vaikuta ASP.NET-sovellusten toimintaan.

Security Advisory 2659883 - Haavoittuvuus ASP.NET-kirjastossa

KimmoBergius — Thu, 29 Dec 2011 06:57:00 GMT

Microsoft on julkaissut uuden Security Advisoryn 2659883 otsikolla Vulnerability in ASP.NET Could Allow Denial of Service. Security Advisory koskee ASP.NET-kirjastoa kaikissa tällä hetkellä tuetuissa .NET Frameworkin versioissa. ASP.NET-kirjastosta on löydetty haavoittuvuus, joka liittyy kirjaston tapaan käsitellä hash table -tietoja web-palvelimessa, jossa jokin web-sivu voi vastaanottaa tietoja ASP.NET-pohjaiselle lomakkeelle HTTP POST -pyynnön välityksellä. Vihamielinen hyökkääjä voi hyödyntää haavoittuvuutta lähettämällä sivulle useita tietyllä tavalla muotoiltuja HTTP POST -pyyntöjä, mikä saattaa aiheuttaa sen, että hash table -tietojen käsittely kuluttaa kaiken prosessoritehon koneesta, ja sitä kautta palvelin ei enää vastaa sille lähetettyihin pyyntöihin. Haavoittuvuus voi siis aiheuttaa palvelimessa Denial of Service -tilanteen. On kuitenkin huomattava, että haavoittuvuus ei anna hyökkääjälle mahdollisuutta suorittaa haluaamansa ohjelmakoodia kohteena olevassa järjestelmässä.

Haavoittuvuus koskee kaikkia .NET Frameworkin tuettuja versioita kaikissa tuetuissa Windows-käyttöjärjestelmällä varustetuissa järjestelmissä.

Haavoittuvuuteen ei siis vielä ole korjausta saatavilla - mitä voin tehdä haavoittuvuuden aiheuttaman riskin pienentämiseksi? No, ihan ensimmäisenä kannattaa lukaista itse Advisory - Advisoryn loppuosassa, kohdan Workarounds alla kerrotaan keino, jonka avulla haavoittuvuuden aiheuttamaa riskiä voidaan pienentää. Keino liittyy HTTP POST -pyyntöjen koon rajoittamiseen.

Microsoft on lisäksi myös julkaisemassa korjauksen haavoittuvuuteen normaalin julkaisuaikataulun ulkopuolella. Näillä näkymin korjaus julkaistaan 29. joulukuuta 2011 n. klo 20.00 Suomen aikaa. Lisätietoja löytyy MSRC:n blogista.

Lisätietoja haavoittuvuudesta löytyy MSRC:n blogista osoitteessa http://blogs.technet.com/msrc/ sekä Security Research and Defense -blogista osoitteesta http://blogs.technet.com/b/srd/archive/2011/12/27/more-information-about-the-december-2011-asp-net-vulnerability.aspx.

Security Advisory 2641690 -

KimmoBergius — Fri, 11 Nov 2011 06:06:00 GMT

Microsoft on hetki sitten julkaissut uuden Security Advisoryn 2641690 otsikolla Fraudulent Digital Certificates Could Allow Spoofing. Security Advisory koskee Malesialaista DigiCert Sdn.Bhd -nimistä varmenteiden myöntäjää, joka on myöntänyt varmenteita, joissa on käytetty kohtuullisen heikkoja salausavaimia. Kyseessä on ns. Intermediate-tason varmentaja, joka on käyttänyt varmenteiden myöntämisessä Entrustin ja GTE Cybertrustin myöntämiä varmenteita. Molemmat ovat peruuttaneet DigiCertille myönnetyt varmenteet, mutta Microsoft on eilen julkaissut normaalien päivityskanavien kautta päivityksen, joka vielä siirtää näiden kahden varmentajan DigiCertille myöntämät varmenteet Windowsin ei-luotettujen varmenteiden säilöön. Näin varmistetaan, että DIgiCertin myöntämiä varmenteita ei Windowsissa enää käytetä. Muutos vaikuttaa kaikkiin sovelluksiin, joissa hyödynnetään Microsoftin varmennetoiminnallisuutta, mm. Internet Explorer -selaimeen.

Tarvittava muutos, eli DigiCertin kahden varmenteen siirtäminen ei-luotettujen varmenteiden säilöön tapahtuu siis asentamalla KB-artikkelinumerolla 2641690 varustettu päivitys. Päivitys asentuu normaalien päivitysmenetelmien, eli automaattisten päivitysten, Windows Updaten ja Microsoft Updaten sekä WSUS-palvelun avulla.

Miten voin varmistaa, että muutos on tehty ja oikeat varmenteet on lisätty ei-luotettujen varmenteiden listalle? No se tapahtuu helposti, eli avaa MMC.EXE-niminen ohjelma, lisää siihen (huomaa, että sinulla pitää olla järjestelmänvalvojan oikeudet, lisää siihen varmenteiden hallintatoiminnallisuus valitsemalla File-valikosta Add/Remove Snap-In ja lisäämällä Certificates-niminen snap-in konsoliin. Nyt kun katsot Untrusted Certificates -kohdan alla olevia varmenteita, pitäisi listalla näkyä alla olevassa kuvassa korostetut varmenteet:

Lisätietoja advisorystä löytyy MSRC:n blogista osoitteessa http://blogs.technet.com/msrc/ ja itse advisory löytyy osoitteesta http://technet.microsoft.com/en-us/security/advisory/2641690.

Muutoksia tietoturvatiedottamisessa marraskuusta 2011 lähtien

KimmoBergius — Wed, 12 Oct 2011 04:30:10 GMT

Microsoft on julkaissut tietoturvatiedotteita kuukausittain vuoden 2003 syksystä lähtien, ja koko tämän ajan olemme myös tiedottaneet paikallisesti tiedotteiden julkaisusta suomenkielisen koostesähköpostin sekä paikallisen verkkokokouksen kautta. Tämän vuoden marraskuusta lähtien siirrymme hyödyntämään kansainvälistä tiedotuskäytäntöä. Tämä tarkoittaa kahta muutosta tiedotuskäytäntöön:

1. Suomenkielistä sähköpostikoostetta ei enää lähetetä, vaan sen korvaa englanninkielinen sähköpostitse lähetettävä ilmoitus tietoturvatiedotteista. Englanninkielisten tiedotteiden jakelulistalle voit liittyä osoitteessa http://technet.microsoft.com/fi-fi/security/dd252948.

2. Emme myöskään enää järjestä paikallista verkkokokousta, vaan hyödynnämme englanninkielistä verkkokokousta, josta löytyy tietoja MSRC:n blogista kunkin kuun tiedotteita käsittelevästä blogiartikkelista.

Muutoksen tavoitteena on yhtenäistää ja nopeuttaa tiedottamista myös täällä Suomessa. Mikäli sinulla on kysyttävää uudesta tiedotuskäytännöstä, voit laittaa kysymyksen tänne blogiin tai lähettää sähköpostin oallekirjoittaneelle osoitteeseen kimmo.bergius@microsoft.com.

Webcast lokakuun 2011 tietoturvatiedotteista

KimmoBergius — Wed, 12 Oct 2011 04:15:51 GMT

Microsoft julkaisi tiistaina 11.10.2011 normaalin julkaisuaikataulun mukaisesti lokakuun tietoturvatiedotteet, ja aikaisempien kuukausien tapaan järjestämme tiedotteista myös webcastin. Kuten aiemminkin, webcastin agendalla on ensin kunkin yksittäisen tietoturvatiedotteen läpikäynti, sen jälkeen hieman yleisiä tietoja tiedotteista ja niihin liittyvistä tietoturvapäivityksistä, kuten tietoja päivitystarpeen tunnistamisesta ja päivitysten jakelusta, ja lopuksi vielä joitain muita tietoturvaan liittyviä tietoja. Viimeisessä osuudessa on yleensä käyty nopeasti läpi yleisimmät tuotteet, joiden elinkaari on päättymässä tai päättynyt.

Webcast järjestetään keskiviikkona 12.10.2011 alkaen klo 10.00. Webcast ei vaadi ennakkoilmoittautumista ja siihen pääsee mukaan 30 minuuttia ennen lähetyksen alkamista napsauttamalla tätä linkkiä. Webcastiin osallistuminen edellyttää, että työsemaan on asennettu Livemeeting-työasemaohjelmisto, joten jos et ole aiemmin käyttänyt Livemeeting-järjestelmää, kannattaa asennusta varten varata vähän aikaa ennen varsinaisen webcastin alkua.

Webcastin tavoitteena on toisaalta antaa nopea yleiskatsaus kuun tiedotejulkaisuun, ja toisaalta vastata kysymyksiin, joita osallistujilla mahdollisesti tiedotteista on herännyt. Kysymyksiä voi esittää webcastin aikana Livemeting-järjestelmän kautta, ja vastaamme kysymyksiin joko Webcastin aikana tai sitten tämän blogin kautta myöhemmin.

Webcast syyskuun 2011 tietoturvatiedotteista

KimmoBergius — Wed, 14 Sep 2011 02:41:11 GMT

Microsoft julkaisi tiistaina 13.9.2011 normaalin julkaisuaikataulun mukaisesti syyskuun tietoturvatiedotteet, ja aikaisempien kuukausien tapaan järjestämme tiedotteista myös webcastin. Kuten aiemminkin, webcastin agendalla on ensin kunkin yksittäisen tietoturvatiedotteen läpikäynti, sen jälkeen hieman yleisiä tietoja tiedotteista ja niihin liittyvistä tietoturvapäivityksistä, kuten tietoja päivitystarpeen tunnistamisesta ja päivitysten jakelusta, ja lopuksi vielä joitain muita tietoturvaan liittyviä tietoja. Viimeisessä osuudessa on yleensä käyty nopeasti läpi yleisimmät tuotteet, joiden elinkaari on päättymässä tai päättynyt.

Webcast järjestetään keskiviikkona 14.9.2011 alkaen klo 10.00. Webcast ei vaadi ennakkoilmoittautumista ja siihen pääsee mukaan 30 minuuttia ennen lähetyksen alkamista napsauttamalla tätä linkkiä. Webcastiin osallistuminen edellyttää, että työsemaan on asennettu Livemeeting-työasemaohjelmisto, joten jos et ole aiemmin käyttänyt Livemeeting-järjestelmää, kannattaa asennusta varten varata vähän aikaa ennen varsinaisen webcastin alkua.

Ennakkotieto syyskuun 2011 tietoturvatiedotteista

KimmoBergius — Fri, 09 Sep 2011 02:05:00 GMT

Microsoft on eilen illalla julkaissut ennakkotiedon ensi tiistaina 13.9.2011 normaalin aikataulun mukaisesti julkaistavista syyskuun tietoturvatiedotteista. Ennakkotiedon mukaan tulevana tiistaina julkaistaan viisi (5) uutta tietoturvatiedotetta:

kaikki viisi tiedotetta ovat luokitukseltaan tärkeitä (Important),
kaksi tiedotteista koskee eri Windowsin tuettuja versioita tai jotain Windowsin komponenttia,
kolme tiedotteista koskee Office-ohjelmiston eri versioita tai jotain Office-ohjelmiston komponenttia.

Tiedotteissa kuvatut päivitykset korjaavat kaiken kaikkiaan 15 haavoittuvuutta edellä mainituista tuotteista.

Tarkempia tietoja tiedotteista ja tuoteversioista, joita ne koskevat, löytyy englanninkielisestä ennakkotiedotteesta sekä MSRC:n blogista.

Tietoturvatiedotteista tiedotetaan ensi viikolla niiden julkaisun jälkeen normaaliin tapaan. Järjestämme myös ensi viikolla tiedotteita koskevan verkkokokouksen keskiviikkona 14.9.2011 klo 10.00 alkaen. Lisätietoja osallistumisesta verkkokokoukseen tulee tänne blogiin ensi viikon alussa.

Webcast elokuun 2011 tietoturvatiedotteista

KimmoBergius — Wed, 10 Aug 2011 04:54:52 GMT

Microsoft julkaisi tiistaina 9.8.2011 normaalin julkaisuaikataulun mukaisesti elokuun tietoturvatiedotteet, ja aikaisempien kuukausien tapaan järjestämme tiedotteista myös webcastin. Kuten aiemminkin, webcastin agendalla on ensin kunkin yksittäisen tietoturvatiedotteen läpikäynti, sen jälkeen hieman yleisiä tietoja tiedotteista ja niihin liittyvistä tietoturvapäivityksistä, kuten tietoja päivitystarpeen tunnistamisesta ja päivitysten jakelusta, ja lopuksi vielä joitain muita tietoturvaan liittyviä tietoja. Viimeisessä osuudessa on yleensä käyty nopeasti läpi yleisimmät tuotteet, joiden elinkaari on päättymässä tai päättynyt.

Webcast järjestetään keskiviikkona 10.8.2011 alkaen klo 10.00. Webcast ei vaadi ennakkoilmoittautumista ja siihen pääsee mukaan 30 minuuttia ennen lähetyksen alkamista napsauttamalla tätä linkkiä. Webcastiin osallistuminen edellyttää, että työsemaan on asennettu Livemeeting-työasemaohjelmisto, joten jos et ole aiemmin käyttänyt Livemeeting-järjestelmää, kannattaa asennusta varten varata vähän aikaa ennen varsinaisen webcastin alkua.

Ennakkotieto elokuun 2011 tietoturvatiedotteista

KimmoBergius — Fri, 05 Aug 2011 01:41:40 GMT

Microsoft on eilen illalla julkaissut ennakkotiedon ensi tiistaina 9.8.2011 normaalin aikataulun mukaisesti julkaistavista elokuun tietoturvatiedotteista. Ennakkotiedon mukaan tulevana tiistaina julkaistaan kolmetoista (13) uutta tietoturvatiedotetta:

tiedotteista kaksi on luokitukseltaan kriittisiä (Critical),
yhdeksän tiedotteista on luokitukseltaan tärkeitä (Important),
kaksi tiedotteista on luokitukseltaan keskitasoa (Moderate),
kymmenen tiedotteista koskee eri Windowsin tuettuja versioita tai jotain Windowsin komponenttia,
yksi tiedotteista koskee Internet Explorer -selaimen eri versioita,
yksi tiedotteista koskee Visio-ohjelmiston eri versioita,
yksi tiedotteista koskee Microsoftin kehitysvälineitä.

Tiedotteissa kuvatut päivitykset korjaavat kaiken kaikkiaan 22 haavoittuvuutta edellä mainituista tuotteista.

Tarkempia tietoja tiedotteista ja tuoteversioista, joita ne koskevat, löytyy englanninkielisestä ennakkotiedotteesta sekä MSRC:n blogista.

Tietoturvatiedotteista tiedotetaan ensi viikolla niiden julkaisun jälkeen normaaliin tapaan. Järjestämme myös ensi viikolla tiedotteita koskevan verkkokokouksen keskiviikkona 10.8.2011 klo 10.00 alkaen. Lisätietoja osallistumisesta verkkokokoukseen tulee tänne blogiin heti alkuviikosta.

MSRC julkaissut uusimman vuosiraporttinsa

KimmoBergius — Wed, 03 Aug 2011 02:17:00 GMT

Microsoftin Security Response Center eli MSRC on julkaissut kolmannen vuosittaisen raporttinsa, jossa kerrotaan, miten MSRC:n alulle panemat erilaiset ohjelmat ovat vaikuttaneet Internetin ja tietokoneiden tietoturvaan. Raportissa kerrotaan tietoja mm. tietoturvatiedotteiden julkaisuprosessista ja tiedotteisiin liittyvästä Exploitability Index –luokituksesta sekä kuvataan Microsoft Active Protections Program- (MAPP) ja Microsoft Vulnerability Research (MSVR) –ohjelmat. MAPP-ohjelman tavoitteena on helpottaa tietoturva-alalla toimivien sovelluskehitystalojen välistä tiedonkulkua ja yhteistyötä, ja MSVR-ohjelman tarkoituksena on taasen raportoida kolmansille osapuolille tietoturvaan liittyvistä haavoittuvuuksista, joita Microsoft on tavalla tai toisella saanut tietoonsa.

Raportissa kerrotaan myös Microsoftin vuosi sitten lanseeraamasta Coordinated Vulnerability Disclosure –aloitteesta ja sen vaikutuksesta. CVD:n tavoitteena on saada aikaan yhtenäinen ja yhtäläinen toimintatapa ohjelmistovalmistajien ja haavoittuvuuksien löytäjien väliselle yhteistyölle.

Raportista löytyy lyhyt yhteenveto MSRC:n blogista, ja itse raportin voi ladata täältä.

Webcast heinäkuun 2011 tietoturvatiedotteista

KimmoBergius — Wed, 13 Jul 2011 03:31:18 GMT

Microsoft julkaisi tiistaina 12.7.2011 normaalin julkaisuaikataulun mukaisesti heinäkuun tietoturvatiedotteet, ja aikaisempien kuukausien tapaan järjestämme tiedotteista myös webcastin. Kuten aiemminkin, webcastin agendalla on ensin kunkin yksittäisen tietoturvatiedotteen läpikäynti, sen jälkeen hieman yleisiä tietoja tiedotteista ja niihin liittyvistä tietoturvapäivityksistä, kuten tietoja päivitystarpeen tunnistamisesta ja päivitysten jakelusta, ja lopuksi vielä joitain muita tietoturvaan liittyviä tietoja. Viimeisessä osuudessa on yleensä käyty nopeasti läpi yleisimmät tuotteet, joiden elinkaari on päättymässä tai päättynyt.

Webcast järjestetään keskiviikkona 13.7.2011 alkaen klo 10.00. Webcast ei vaadi ennakkoilmoittautumista ja siihen pääsee mukaan 30 minuuttia ennen lähetyksen alkamista napsauttamalla tätä linkkiä. Webcastiin osallistuminen edellyttää, että työsemaan on asennettu Livemeeting-työasemaohjelmisto, joten jos et ole aiemmin käyttänyt Livemeeting-järjestelmää, kannattaa asennusta varten varata vähän aikaa ennen varsinaisen webcastin alkua.

Webcast kesäkuun 2011 tietoturvatiedotteista

KimmoBergius — Wed, 15 Jun 2011 04:38:36 GMT

Microsoft julkaisi tiistaina 14.6.2011 normaalin julkaisuaikataulun mukaisesti kesäkuun tietoturvatiedotteet, ja aikaisempien kuukausien tapaan järjestämme tiedotteista myös webcastin. Kuten aiemminkin, webcastin agendalla on ensin kunkin yksittäisen tietoturvatiedotteen läpikäynti, sen jälkeen hieman yleisiä tietoja tiedotteista ja niihin liittyvistä tietoturvapäivityksistä, kuten tietoja päivitystarpeen tunnistamisesta ja päivitysten jakelusta, ja lopuksi vielä joitain muita tietoturvaan liittyviä tietoja. Viimeisessä osuudessa on yleensä käyty nopeasti läpi yleisimmät tuotteet, joiden elinkaari on päättymässä tai päättynyt.

Webcast järjestetään keskiviikkona 15.6.2011 alkaen klo 10.00. Webcast ei vaadi ennakkoilmoittautumista ja siihen pääsee mukaan 30 minuuttia ennen lähetyksen alkamista napsauttamalla tätä linkkiä. Webcastiin osallistuminen edellyttää, että työsemaan on asennettu Livemeeting-työasemaohjelmisto, joten jos et ole aiemmin käyttänyt Livemeeting-järjestelmää, kannattaa asennusta varten varata vähän aikaa ennen varsinaisen webcastin alkua.

Webcast toukokuun 2011 tietoturvatiedotteista

KimmoBergius — Wed, 11 May 2011 03:33:48 GMT

Microsoft julkaisi tiistaina 10.5.2011 normaalin julkaisuaikataulun mukaisesti toukokuun tietoturvatiedotteet, ja aikaisempien kuukausien tapaan järjestämme tiedotteista myös webcastin. Kuten aiemminkin, webcastin agendalla on ensin kunkin yksittäisen tietoturvatiedotteen läpikäynti, sen jälkeen hieman yleisiä tietoja tiedotteista ja niihin liittyvistä tietoturvapäivityksistä, kuten tietoja päivitystarpeen tunnistamisesta ja päivitysten jakelusta, ja lopuksi vielä joitain muita tietoturvaan liittyviä tietoja. Viimeisessä osuudessa on yleensä käyty nopeasti läpi yleisimmät tuotteet, joiden elinkaari on päättymässä tai päättynyt.

Webcast järjestetään keskiviikkona 11.5.2011 poikkeuksellisesti klo 14.00 alkaen. Webcast ei vaadi ennakkoilmoittautumista ja siihen pääsee mukaan 30 minuuttia ennen lähetyksen alkamista napsauttamalla tätä linkkiä. Webcastiin osallistuminen edellyttää, että työsemaan on asennettu Livemeeting-työasemaohjelmisto, joten jos et ole aiemmin käyttänyt Livemeeting-järjestelmää, kannattaa asennusta varten varata vähän aikaa ennen varsinaisen webcastin alkua.

Ennakkotieto toukokuun 2011 tietoturvatiedotteista

KimmoBergius — Fri, 06 May 2011 09:00:54 GMT

Microsoft on eilen illalla julkaissut ennakkotiedon ensi tiistaina 10.5.2011 normaalin aikataulun mukaisesti julkaistavista toukokuun tietoturvatiedotteista. Ennakkotiedon mukaan tulevana tiistaina julkaistaan kaksi (2) uutta tietoturvatiedotetta:

tiedotteista ensimmäinen on luokitukseltaan kriittinen (Critical) ja koskee eri Windowsin tuettuja versioita tai jotain WIndowsin komponenttia, ja
toinen on luokitukseltaan tärkeä (Important) ja koskee eri Office-ohjelmiston tuettuja versioita.

Tiedotteissa kuvatut päivitykset korjaavat kaiken kaikkiaan 3 haavoittuvuutta edellä mainituista tuotteista.

Tarkempia tietoja tiedotteista ja tuoteversioista, joita ne koskevat, löytyy englanninkielisestä ennakkotiedotteesta sekä MSRC:n blogista.

Tietoturvatiedotteista tiedotetaan ensi viikolla niiden julkaisun jälkeen normaaliin tapaan. Järjestämme myös ensi viikolla tiedotteita koskevan verkkokokouksen keskiviikkona 11.5.2011 poikkeuksellisesti klo 14.00 alkaen. Lisätietoja osallistumisesta verkkokokoukseen tulee tänne blogiin heti alkuviikosta.

Webcast huhtikuun 2011 tietoturvatiedotteista

KimmoBergius — Mon, 11 Apr 2011 05:44:00 GMT

Microsoft julkaisee tiistaina 12.4.2011 normaalin julkaisuaikataulun mukaisesti huhtikuun tietoturvatiedotteet, ja aikaisempien kuukausien tapaan järjestämme tiedotteista myös webcastin. Kuten aiemminkin, webcastin agendalla on ensin kunkin yksittäisen tietoturvatiedotteen läpikäynti, sen jälkeen hieman yleisiä tietoja tiedotteista ja niihin liittyvistä tietoturvapäivityksistä, kuten tietoja päivitystarpeen tunnistamisesta ja päivitysten jakelusta, ja lopuksi vielä joitain muita tietoturvaan liittyviä tietoja. Viimeisessä osuudessa on yleensä käyty nopeasti läpi yleisimmät tuotteet, joiden elinkaari on päättymässä tai päättynyt.

Webcast järjestetään keskiviikkona 13.4.2011. klo 10.00 alkaen. Webcast ei vaadi ennakkoilmoittautumista ja siihen pääsee mukaan 30 minuuttia ennen lähetyksen alkamista napsauttamalla tätä linkkiä. Webcastiin osallistuminen edellyttää, että työsemaan on asennettu Livemeeting-työasemaohjelmisto, joten jos et ole aiemmin käyttänyt Livemeeting-järjestelmää, kannattaa asennusta varten varata vähän aikaa ennen varsinaisen webcastin alkua.

Ennakkotieto huhtikuun 2011 tietoturvatiedotteista

KimmoBergius — Mon, 11 Apr 2011 04:45:46 GMT

Microsoft on eilen illalla julkaissut ennakkotiedon ensi tiistaina 12.4.2011 normaalin aikataulun mukaisesti julkaistavista syyskuun tietoturvatiedotteista. Ennakkotiedon mukaan tulevana tiistaina julkaistaan seitsemäntoista (17) uutta tietoturvatiedotetta:

tiedotteista yhdeksän on luokitukseltaan kriittisiä (Critical),
kahdeksan tiedotteista on luokitukseltaan tärkeitä (Important),
kaksitoista tiedotteista koskee eri Windowsin tuettuja versioita tai jotain Windowsin komponenttia,
yksi tiedotteista koskee Internet Explorer -selaimen eri versioita,
neljä tiedotteista koskee Office-ohjelmiston eri versioita,
yksi tiedotteista koskee Microsoftin kehitysvälineitä.

Tiedotteissa kuvatut päivitykset korjaavat kaiken kaikkiaan 64 haavoittuvuutta edellä mainituista tuotteista. Tiedotteiden joukossa on myös korjaukset MHTML-haavoittuvuuteen sekä SMB Browser -toiminnon haavoittuvuuteen, joista molemmista Microsoft on julkistanut tietoa jo aiemmin.

Tarkempia tietoja tiedotteista ja tuoteversioista, joita ne koskevat, löytyy englanninkielisestä ennakkotiedotteesta sekä MSRC:n blogista.

Tietoturvatiedotteista tiedotetaan ensi viikolla niiden julkaisun jälkeen normaaliin tapaan. Järjestämme myös ensi viikolla tiedotteita koskevan verkkokokouksen keskiviikkona 13.4.2011 klo 10.00 alkaen. Lisätietoja osallistumisesta verkkokokoukseen tulee tänne blogiin heti alkuviikosta.

Webcast maaliskuun 2011 tietoturvatiedotteista

KimmoBergius — Wed, 09 Mar 2011 04:11:00 GMT

Microsoft julkaisi tiistaina 8.3.2011 normaalin julkaisuaikataulun mukaisesti maaliskuuntietoturvatiedotteet, ja aikaisempien kuukausien tapaan järjestämme tiedotteista myös webcastin. Kuten aiemminkin, webcastin agendalla on ensin kunkin yksittäisen tietoturvatiedotteen läpikäynti, sen jälkeen hieman yleisiä tietoja tiedotteista ja niihin liittyvistä tietoturvapäivityksistä, kuten tietoja päivitystarpeen tunnistamisesta ja päivitysten jakelusta, ja lopuksi vielä joitain muita tietoturvaan liittyviä tietoja. Viimeisessä osuudessa on yleensä käyty nopeasti läpi yleisimmät tuotteet, joiden elinkaari on päättymässä tai päättynyt.

Webcast järjestetään poikkeuksellisesti huomenna torstaina 10.3. klo 10.00 alkaen. Webcast ei vaadi ennakkoilmoittautumista ja siihen pääsee mukaan 30 minuuttia ennen lähetyksen alkamista napsauttamalla tätä linkkiä. Webcastiin osallistuminen edellyttää, että työsemaan on asennettu Livemeeting-työasemaohjelmisto, joten jos et ole aiemmin käyttänyt Livemeeting-järjestelmää, kannattaa asennusta varten varata vähän aikaa ennen varsinaisen webcastin alkua.

Webcast helmikuun 2011 tietoturvatiedotteista

KimmoBergius — Wed, 09 Feb 2011 03:42:47 GMT

Microsoft julkaisi tiistaina 8.2.2011 normaalin julkaisuaikataulun mukaisesti tammikuun tietoturvatiedotteet, ja aikaisempien kuukausien tapaan järjestämme tiedotteista myös webcastin. Kuten aiemminkin, webcastin agendalla on ensin kunkin yksittäisen tietoturvatiedotteen läpikäynti, sen jälkeen hieman yleisiä tietoja tiedotteista ja niihin liittyvistä tietoturvapäivityksistä, kuten tietoja päivitystarpeen tunnistamisesta ja päivitysten jakelusta, ja lopuksi vielä joitain muita tietoturvaan liittyviä tietoja. Viimeisessä osuudessa on yleensä käyty nopeasti läpi yleisimmät tuotteet, joiden elinkaari on päättymässä tai päättynyt.

Webcast järjestetään keskiviikkona 9.2. poikkeuksellisesti klo 15.00 alkaen. Webcast ei vaadi ennakkoilmoittautumista ja siihen pääsee mukaan 30 minuuttia ennen lähetyksen alkamista napsauttamalla tätä linkkiä. Webcastiin osallistuminen edellyttää, että työsemaan on asennettu Livemeeting-työasemaohjelmisto, joten jos et ole aiemmin käyttänyt Livemeeting-järjestelmää, kannattaa asennusta varten varata vähän aikaa ennen varsinaisen webcastin alkua.

Webcast tammikuun 2011 tietoturvatiedotteista

KimmoBergius — Wed, 12 Jan 2011 05:16:38 GMT

Microsoft julkaisi tiistaina 11.1.2011 normaalin julkaisuaikataulun mukaisesti tammikuun tietoturvatiedotteet, ja aikaisempien kuukausien tapaan järjestämme tiedotteista myös webcastin. Kuten aiemminkin, webcastin agendalla on ensin kunkin yksittäisen tietoturvatiedotteen läpikäynti, sen jälkeen hieman yleisiä tietoja tiedotteista ja niihin liittyvistä tietoturvapäivityksistä, kuten tietoja päivitystarpeen tunnistamisesta ja päivitysten jakelusta, ja lopuksi vielä joitain muita tietoturvaan liittyviä tietoja. Viimeisessä osuudessa on yleensä käyty nopeasti läpi yleisimmät tuotteet, joiden elinkaari on päättymässä tai päättynyt.

Webcast järjestetään keskiviikkona 12.1. klo 10.00 alkaen. Webcast ei vaadi ennakkoilmoittautumista ja siihen pääsee mukaan 30 minuuttia ennen lähetyksen alkamista napsauttamalla tätä linkkiä. Webcastiin osallistuminen edellyttää, että työsemaan on asennettu Livemeeting-työasemaohjelmisto, joten jos et ole aiemmin käyttänyt Livemeeting-järjestelmää, kannattaa asennusta varten varata vähän aikaa ennen varsinaisen webcastin alkua.

Ennakkotieto tammikuun 2011 tietoturvatiedotteista

KimmoBergius — Fri, 07 Jan 2011 06:49:55 GMT

Uusi vuosi alkaa tietoturvamerkeissä kohtuullisen hiljaisella kuukaudella: Microsoft on eilen illalla julkaissut ennakkotiedon ensi tiistaina 11.1.2011 normaalin aikataulun mukaisesti julkaistavista syyskuun tietoturvatiedotteista. Ennakkotiedon mukaan tulevana tiistaina julkaistaan kaksi (2) uutta tietoturvatiedotetta:

tiedotteista toinen on luokitukseltaan kriittinen (Critical),
ja toinen luokitukseltaan tärkeä (Important),
molemmat tiedotteet koskevat Windowsin tuettuja versioita tai jotain Windowsin komponenttia.

Tiedotteissa kuvatut päivitykset korjaavat kaiken kaikkiaan 3 haavoittuvuutta eri tuetuista Windowsin versioista.

Tarkempia tietoja tiedotteista ja tuoteversioista, joita ne koskevat, löytyy englanninkielisestä ennakkotiedotteesta sekä MSRC:n blogista.

Tietoturvatiedotteista tiedotetaan ensi viikolla niiden julkaisun jälkeen normaaliin tapaan. Järjestämme myös ensi viikolla tiedotteita koskevan verkkokokouksen keskiviikkona 12.1.2011 klo 10.00 alkaen. Lisätietoja osallistumisesta verkkokokoukseen tulee tänne blogiin heti alkuviikosta.

Security Advisory 2488013 - haavoittuvuus Internet Explorer -selaimessa

KimmoBergius — Thu, 23 Dec 2010 06:54:00 GMT

Microsoft on hetki sitten julkaissut uuden Security Advisoryn 2488013 otsikolla Vulnerability in Internet Explorer Could Allow Remote Code Execution. Security Advisory koskee Internet Explorer -selaimen versioita 6, 7 ja 8. IE:stä on löydetty haavoittuvuus, joka liittyy CSS-tiedostojen käsittelyyn. Vihamielinen hyökkääjä voi hyödyntää haavoittuvuutta luomalla tietyllä tavalla muotoillun Web-svun ja houkuttelemalla käyttäjän avaamaan Web-sivun selaimessa. Sivun avaaminen saattaa aiheuttaa muistivirheen, jonka turvin hyökkääjä pääsee suorittamaan haluamaansa ohjelmakoodia kohteena olevassa järjestelmässä.

Haavoittuvuus koskee siis Internet Explorer -selaimen versioita 6, 7 ja 8 kaikissa tuetuissa käyttöjärjestelmissä.

Lisätietoja haavoittuvuudesta löytyy MSRC:n blogista osoitteessa http://blogs.technet.com/msrc/ sekä Security Research and Defense -blogista osoitteesta http://blogs.technet.com/b/srd/archive/2010/12/22/new-internet-explorer-vulnerability-affecting-all-versions-of-ie.aspx.