Microsoft-tietoturvan weblogi

Security Advisory 954462 - työkaluja ja ohjeita SQL Injection -hyökkäysten estämiseen

Microsoft on julkaissut uuden Security Advisoryn numeroltaan 954462 ja otsikoltaan "Rise in SQL Injection Attacks Exploiting Unverified User Data Input". Advisory koskee SQL Injection -hyökkäyksiä, joiden määrä on viime aikoina ollut voimakkaassa kasvussa. Hyökkäykset ovat monesti kohdistuneet sivustoihin, joissa hyödynnetään Microsoftin ASP- tai ASP.NET-ohjelmointitekniikoita. Ongelma ei johdu mistään haavoittuvuudesta, vaan pikemminkin siitä, että sivustojen ohjelmoijat eivät tarkista käyttäjän antamia syötteitä, ennen kuin niiden perusteella muodostetaan SQL-kyselylauseita. Näin vihamielinen hyökkääjä voi mahdollisesti päästä muokkaamaan SQL-kyselylauseen haluamallaan tavalla ja päästä käsiksi tietoihin, joihin hänellä ei pitäisi olla pääsyä, tai muulla tavoin aiheuttaa haittaa tietokannan sisältämiin tietoihin. 

Hyökkäysten estämiseksi ja ohjelmakoodin parantamiseksi Microsoft on julkaissut joukon ohjeita, joissa käsitellään SQL Injection -hyökkäyksiä ja niiden estämistä, sekä kolme työkalua, joita ohjelmoijat ja sivustojen ylläpitäjät voivat hyödyntää ongelmien ratkaisemiseksi. Tarkempia tietoja löytyy englanninkielisestä Security Advisorystä. Lisätietoja myös Microsoft Security Response Centerin blogissa.

Security Advisory 954474 - ongelma kesäkuun päivitysten jakelussa

Microsoft on julkaissut uuden Security Advisoryn numeroltaan 954464 ja otsikoltaan "System Center Configuration Manager 2007 Blocked from Deploying Security Updates". Advisory koskee ongelmaa, joka liittyy kesäkuun 2008 tietoturvapäivitysten jakamiseen System Center Configuration Manager 2007 -palvelimella työasemiin, joissa on Systems Management Server 2003 -työasemaohjelmisto. Kyseessä siis EI ole tietoturvaongelma tai haavoittuvuus edellä mainituissa tuotteissa, vaan ongelma joka estää kesäkuun tietoturvapäivitysten jakelemisen, jos käytössä on edellä mainittu tuotekokoonpano. Microsoftin tuoteryhmät tutkivat ongelmaa parhaillaan. 

Lisätietoja löytyy Security Advisorystä sekä myös hallintatiimin blogista.

Päivitys: Microsoft on julkaissut päivityksen System Center Configuration Manager 2007 -tuotteeseen, joka korjaa edellä kuvatun ongelman. Lisätietoja korjauksesta löytyy KB-artikkelista 954474. Korjaus on suositeltavaa asentaa kaikkiin SCCM 2007 -järjestelmiin, joissa käytetään vielä vanhoja SMS 2003 -työasemaohjelmistoja.

Security Advisory 953818 - ongelma käytettäessä Safari-selainta Windows XP:ssä tai Vistassa

Microsoft on julkaissut uuden Security Advisoryn numeroltaan 953818 ja otsikoltaan "Blended Threat from Combined Attack Using Apple’s Safari on the Windows Platform". Advisory koskee ongelmaa, joka mahdollistaa hyökkääjän haluaman ohjelmakoodin suorittamisen kohteena olevassa järjestelmässä, ja joka koskee järjestelmiä, joissa on Windows XP- tai Windows Vista -käyttöjärjestelmä ja joissa käytetään Applen Safari -selainta. Haavoittuvuus on parhaillaan Microsoft Security Response Centerin tutkinnassa ja siihen tehdään ja julkaistaan korjaus, mikäli tutkimuksen tulos sille antaa aihetta. 

Tämän hetkisen tiedon mukaan ongelma koskee seuraavia Windowsin versioita: 

- Windows XP (Service Pack 2 tai Service Pack 3)
- Windows XP Professional x64 Edition (Alkuperäinen versio tai Service Pack 2)
- Windows Vista (alkuperäinen versio tai Service Pack 1)
 

Lisäksi järjestelmissä pitää olla käytössä Applen Safari-selain. Ongelma liittyy Applen Safari-selaimen tapaan tallentaa oletuksena Windowsin työpöydälle. Safari-selain ei myöskään kysy käyttäjältä lupaa ladata jokin tiedosto selaimen kautta koneelle.  

Ongelmaan ei siis ole korjausta vielä olemassa - mitä voin tehdä ongelman aiheuttaman riskin pienentämiseksi? Jos käytössä on Safari-selain, voidaan sen oletuksena käyttämä ladattavien tiedostojen tallennushakemisto muuttaa. Lisätietoja tästä ja muista keinoista on Security Advisoryssä.

Virheellinen Service Pack -taso tietoturvapäivityksen asennuksen jälkeen

"Asensin tiistaina julkaistun MS08-026-päivityksen Office 2003:n Wordiin, ja nyt Wordin About-ikkunassa (Tietoja Wordistä - suom.huom.) näkyy, että ohjelmistoon on asennettu Service Pack 3. En ole asentanut kuitenkaan Service Pack 3:a vielä. Miksi? "

Tämänkaltaisia kysymyksiä on kuulunut muutamalta asiakkaalta tiistaisen tietoturvapäivitysten julkaisun jälkeen. Miksi näin käy? Itse asiassa ongelmaan törmättiin jo aiemmin, mm. toissakuun Excelin tietoturvapäivityksen (MS08-014) yhteydessä. Tämä vaikuttaa lähinnä Office 2003:ssa tällä hetkellä. Taustalla on se, että tietoturvakorjausta tehtäessä on käytetty Office 2003:n Service Pack 3:n koodipuuta, ja näin ollen myös aiempiin Service Packkeihin tehtyjen tietoturvakorjausten mukana toimitettavissa binaareissä on SP3:n tiedostojen päivämääräleimat. Eli ongelma on tiedossa oleva, näin pitääkin käydä.

Kaikki tunnistusmenetelmät tunnistavat Service Pack -tason edelleen oikein, eli myös tällaisiin järjestelmiin tarjotaan edelleen Service Pack 3:n asennusta, kun käytetään Microsoftin tunnistusmenetelmiä. Ongelma ilmenee ainoastan virheellisenä tietona About-ikkunassa.

Lisätietoja löytyy mm. Knowledge Base -artikkeleista 328294, 821549 ja 951646.

Toukokuun 2008 tietoturvatiedotteet

Microsoft on 13.5.2008 n. Klo 20.00 julkistanut normaalin kuukausittaisen julkaisuaikataulun mukaisesti neljä (4) uutta tietoturvatiedotetta, joista kooste alla. Tietoturvatiedotteissa on korjattu kaikkiaan 6 haavoittuvuutta Windowsissa, Office-sovelluksissa sekä Microsoftin haittaohjelmien torjuntaohjelmistoissa. Englanninkielinen yhteenveto ja varsinaiset tietoturvatiedotteet löytyvät osoitteesta http://www.microsoft.com/technet/security/bulletin/ms08-may.mspx.

Luokitukseltaan kriittiset (Critical) tietoturvatiedotteet:

MS08-026 Haavoittuvuuksia Microsoft Word -sovelluksessa (951207)

Tiedote koskee seuraavia tuotteita:

-        Microsoft Office 2000 (Service Pack 3)

-        Microsoft Office XP (Service Pack 3)

-        Microsoft Office 2003 (Service Pack 2 ja Service Pack 3)

-        Microsoft Office System 2007 (alkuperäinen versio ja Service Pack 1)

-        Microsoft Excel 2003 Viewer

-     Microsoft Office Compatibility Pack for Word, Excel and PowerPoint File Formats

-        Microsoft Office 2004 for Mac

-        Microsoft Office 2008 for Mac

MS08-027 Haavoittuvuus Microsoft Publisher -sovelluksessa (951208)

Tiedote koskee seuraavia tuotteita:

-        Microsoft Office 2000 (Service Pack 3)

-        Microsoft Office XP (Service Pack 3)

-        Microsoft Office 2003 (Service Pack 2 ja Service Pack 3)

-        Microsoft Office 2007 (alkuperäinen versio ja Service Pack 1)

MS08-028 Haavoittuvuus Microsoft Jet -tietokantatoiminnallisuudessa (950749)

Tiedote koskee seuraavia tuotteita:

-     Microsoft Windows 2000 (Service Pack 4)

-     Microsoft Windows XP (Service Pack 2)

-     Microsoft Windows XP Professional x64 Edition (alkuperäinen versio)

-     Microsoft Windows Server 2003 (Service Pack 1)

-     Microsoft Windows Server 2003 for Itanium-based Systems (Service Pack 1)

-     Microsoft Windows Server 2003 x64 Edition (alkuperäinen versio)

Luokitukseltaan keskitason (Moderate) tietoturvatiedotteet:

MS08-029 Haavoittuvuuksia Microsoftin haittaohjelmien torjuntajärjestelmissä (952044)

Tiedote koskee seuraavia tuotteita:

-     Windows Live OneCare

-     Microsoft Antigen for Exchange

-     Microsoft Antigen for SMTP Gateway

-     Microsoft Windows Defender

-     Microsoft Forefront Client Security

-     Microsoft Forefront Security for Exchange Server

-     Microsoft Forefront Security for SharePoint

-     Standalone System Sweeper located in Diagnostics and Recovery

Security Advisory 951306 - haavoittuvuus Windowsissa

Microsoft on julkaissut uuden Security Advisoryn numeroltaan 951306 ja otsikoltaan Vulnerability in Windows Could Allow Elevation of Privilege. Advisory koskee Windowsissa ja siinä suoritettavissa palveluissa raportoitua haavoittuvuutta. Haavoittuvuus on parhaillaan Microsoft Security Response Centerin tutkinnassa ja siihen tehdään ja julkaistaan korjaus, mikäli tutkimuksen tulos sille antaa aihetta. 

Tämän hetkisen tiedon mukaan haavoittuvuus koskee kaikkia tällä hetkellä tuettuja Windowsin versioita: 

Haavoittuvuus littyy em. Windowsin versioissa suoritettaviin palveluihin, joita suoritetaan NetworkService- tai LocalService-tunnusten turvin. Jos ulkopuolinen hyökkääjä pääsee lisäämään omaa ohjelmakoodiaan tällaisiin palveluihin, esimerkiksi Internet Information Service -palveluun, on sitä kauttaa mahdollisuus päästä käsiksi muiden saman käyttäjätunnuksen turvin suoritettvien palvelujen resursseihin, ja sitä kauttaa mahdollisesti päästä korottamaan käyttöoikeuksia aina LocalSystem-tasolle. 

Haavoittuvuuteen ei siis ole korjausta vielä olemassa - mitä voin tehdä haavoittuvuuden aiheuttaman riskin pienentämiseksi?
Advisoryssä on ohjeita esim. IIS-palvelujen muuttamisesta niin, että niitä ei enää suoriteta oletuksena käytettävän NetworkService-tunnuksen turvin, vaan palvelua varten määritetään jokin toinen käyttäjätunnus. Kannattaa myös tarkistaa muut palvelut, joihin on mahdollisuus lisätä suoritettavaa ohjelmakoodia ja joita suoritetaan joko NetworkService- tai LocalService-tunnuksen turvin, ja tutkia, onko mahdollista muuttaa käyttäjätunnus, jonka turvin palvelua suoritetaan, joksikin muuksi tunnukseksi.

Maaliskuun 2008 tietoturvatiedotteet

Microsoft on eilen 11.3.2008 n. Klo 20.00 julkistanut normaalin kuukausittaisen julkaisuaikataulun mukaisesti neljä (4) uutta tietoturvatiedotetta, joista kooste alla. Tietoturvatiedotteissa on korjattu kaikkiaan 12 haavoittuvuutta Office-sovelluksissa ja niihin liittyvissä komponenteissa. Englanninkielinen yhteenveto ja varsinaiset tietoturvatiedotteet löytyvät osoitteesta http://www.microsoft.com/technet/security/bulletin/ms08-mar.mspx.

Tässä kuussa järjestämme jälleen tietoturvatiedotteita koskevan webcastin. Webcast järjestetään keskiviikkona 12.3.2008 poikkeuksellisesti klo 13.00. Webcastiin voi ilmoittautua osoitteessa http://www.microsoft.fi/events.

Luokitukseltaan kriittiset (Critical) tietoturvatiedotteet:

MS08-014 Haavoittuvuuksia Microsoft Excel -taulukkolaskentasovelluksessa (949029)

Tiedote koskee seuraavia tuotteita:

-        Microsoft Office 2000 (Service Pack 3)

-        Microsoft Office XP (Service Pack 3)

-        Microsoft Office 2003 (Service Pack 2)

-        Microsoft Office System 2007

-        Microsoft Excel 2003 Viewer

-        Microsoft Office 2004 for Mac

-        Microsoft Office 2008 for Mac

MS08-015 Haavoittuvuus Microsoft Outlook -sähköpostisovelluksessa (949031)

-        Microsoft Office 2000 (Service Pack 3)

-        Microsoft Office XP (Service Pack 3)

-        Microsoft Office 2003 (Service Pack 2 ja Service Pack 3)

-        Microsoft Office 2007

MS08-016 Haavoittuvuuksia Microsoft Office -ohjelmistossa (949030)

-        Microsoft Office 2000 (Service Pack 3)

-        Microsoft Office XP (Service Pack 3)

-        Microsoft Office 2003 (Service Pack 2)

-        Microsoft Excel 2003 Viewer

-        Microsoft Office 2004 for Mac

MS08-017 Haavoittuvuuksia Microsoft Office Web Components -toiminnoissa (933103)

-        Microsoft Office 2000 (Service Pack 3)

-        Microsoft Office XP (Service Pack 3)

-        Visual Studio .NET 2002 (Service Pack 1)

-        Visual Studio .NET 2003 (Service Pack 1)

-        Microsoft BizTalk Server 2000

-        Microsoft BizTalk Server 2002

-        Microsoft Commerce Server 2000 (alkuperäinen versio)

-        Internet Security and Acceleration Server 2000 (Service Pack 2)

Muutoksia ActiveX-komponenttien käytössä IE:ssä

Huhtikuussa 2006 Microsoft teki muutoksen tapaan, jolla web-sivulla oleva ActiveX-komponentti ladattiin ja aktivoitiin Internet Explorer -selaimessa. Muutos näkyi käyttäjälle niin, että kun hän vei hiiren osoittimen sivulla olevan ActiveX-komponentin kohdalle, näkyviin tuli teksti "Click to activate" ja käyttäjän piti napsauttaa sivulla olevaa ActiveX-komponenttia kerran ennen sen käyttämistä. Microsoft on nyt lisensoinut Eolakselta joukon teknologioita, minkä johdosta "Click to activate" -toiminnallisuutta ei enää tarvita.

Näin ollen tarkoituksena on, että ActiveX-komponenttien käyttötapa palautetaan samaksi, mitä se oli ennen huhtikuussa 2006 tehtyä muutosta. Tämä muutos on tarkoitus jaella huhtikuussa 2008 julkaistavan IE:n kumulatiivisen tietoturvapäivityksen mukana. Muutoksesta on kuitenkin olemassa jo esiversio, jota webbisivujen tekijät ja sovelluskehittäjät voivat käyttää testatakseen muutoksen vaikutuksen omilla sivuillaan ja sivuilla käytettävien ActiveX-komponenttien kanssa.

Lisätietoja löytyy seuraavista osoitteista:
IE Automatic Component Activation
IE Automatic Component Activation Preview #2 is now available
KB-artikkeli 947518
Information for Developers about Internet Explorer

Windows Vistan Service Pack 1

Windows Vistan ensimmäinen suurempi päivityspaketti, Service Pack 1, valmistui viime viikon maanantaina, 4. helmikuuta. Monet ovat sen jälkeen kyselleet, että koskas sen nyt sitten oikeasti saa käyttöön. Seuraavassa lyhyt vastaus aiheeseen: 

Ensimmäkin, Vistan SP1 on jaettu kahteen kieliversioon: 
1. Ensimmäinen, viime maanantaina valmistunut kieliversio kattaa seuraavat kielet: englanti, japani, saksa, ranska ja espanja.
2. Toinen kieliversio, joka kattaa loput Windowsin tukemat kieliversiot, mukaan luettuna suomenkielisen version, valmistuu huhtikuun aikana.

On tärkeää erottaa nämä kaksi kieliversiota, koska ensimmäinen versio asentuu ainoastaan järjestelmiin, joissa Vistan kieli on jokin edellä mainituista viidestä kielestä, eikä siihen ole myöskään asennettu minkään muun kielistä kielipakettia. Eli jos käytössäsi on englanninkielinen Vista-kone, johon on asennettu suomenkielinen kielipaketti, et voi asentaa siihen tuota jo valmistunutta SP1-versiota (tai voit, mutta asennus edellyttää sitä, että ensin poistat suomenkielisen kielipaketin).

Toisekseen, jakelusta: vaikkakin SP1:n ensimmäinen kielipaketti valmistui viime viikolla, ei se ole vielä julkisessa jakelussa. Jakelu alkaa ensi kuun puolenvälin tietämillä Windows Update –palvelun ja Microsoftin lataussivuston kautta. Windows Updaten kautta päivityspakettia vain tarjotaan ensimmäisessä vaiheessa käyttäjille asennettavaksi, ja vasta huhtikuun aikana se tulee mukaan automaattijakeluun. Suomenkielisen version jakelusta ilmoitetaan tarkemmin huhtikuun aikana, kunhan SP1:n toinen kieliversio ensin valmistuu.

Lisätietoja jakelusta löytyy mm. kahdesta Vista-tuoteryhmän blogissa olevasta kirjoituksesta:

Announcing the RTM of Windows Vista SP1
Windows Vista SP1 availability for technical customers

Lataussivustosta löytyy jo useampikin SP1:tä käsittelevä dokumentti ja työkalupaketti:

Overview of Windows Vista SP1
Notable Changes in Windows Vista SP1
Release Notes for Windows Vista Service Pack 1
Windows Vista SP1 Guides for IT Professionals
Automated Installation Kit (AIK) for Windows Vista SP1 and Windows Server 2008

Lisätietoja löytyy myös Windows Vista Technical Library -sivustosta.

Muutama kommentti tiistain tietoturvatiedotteisiin

MS08-013 / MS08-012 - jonkin verran kysymyksiä on tullut siitä, miksi päivitystä tarjotaan myös Office 2003 + Service Pack 3 -yhdistelmälle, vaikka se ei olekaan haavoittuvuuden sisältävien ohjelmistojen listalla. Syynä tähän on se, että päivityksen sisältämä VBE6.DLL-tiedosto on versionumeroltaan uudempi kuin SP3:n sisältämä versio. Tästä huolimatta päivitystä EI tarvitse asentaa Office 2003:een, johon on jo asennettu SP3.

MS08-011 - tämä tiedote koskee Worksin tiedostomuunninta, ja kysymyksiä onkin herännyt siitä, miksi päivitystä tarjotaan myös jäjestelmiin, joihin ei ole asennettu mitään Worksin versiota. Syynä tähän on se, että ko. tiedostomuunnin on myös osa Office 2003:a, ja Office 2003 + Service Pack 2 -yhdistelmä on näin ollen haavoittuvuuden sisältävien ohjelmistojen listalla ja päivitystä tarjotaan Office 2003 -versiolla ja Service Pack 2:lla varustetuille järjestelmille. Jos Office 2003:een on jo asennettu Service Pack 3, ei päivitystä enää tarvita tai tarjota.

MS08-003 - Windows 2000 Professional mainitaan tiedotteessa niiden käyttöjärjestelmäversioiden listalla, jotka eivät sisällä haavoittuvuutta. Päivitystä kuitenkin tarjotaan myös Professional-versiolle - miksi? Tämä johtuu siitä, että myös Professionalissa ja itse asiassa myös Windows 2000 Member Server -palvelimissa on mukana osa niistä tiedostoista, jotka tulevat päivityksessä mukana. Haavoittuvuus kuitenkin ilmenee ainoastan Windows 2000 -palvelimissa, jotka on määritetty Active Directory -hakemistopalvelimiksi.

Tietolähteet, uusi blogi ja kill bitit

Yksi useimmiten esitettyjä kysymyksiä tietoturvatiedotteisiin ja -päivityksiin liittyen on "mistä näistä saa lisätietoja?". Tiedotteiden suhteen ensimmäinen tietolähde on tietysti Tecnetin tietoturvasivusto, josta löytyvät itse tiedotteet, security advisoryt sekä paljon muuta tietoa Microsoftin tuotteiden tietoturvasta. Toinen mainio tietolähde, jota kannattaa seurata, on Microsoftin Security Response Centerin (MSRC) blogi, jossa kerrotaan ajankohtaista muustakin kuin pelkästään päivityksistä.  

Uusin tietolähde on Security Vulnerability Research & Defense -blogi, jossa on hyödyllistä taustatietoa mm. tiedotteiden taustalla olevista haavoittuvuuksista. Uusimpana blogissa on kolmiosainen tarina kill biteistä, joihin törmää monesti Internet Exploreria koskevissa titotuvatiedotteissa. Kannattaa lukea!

Helmikuun 2008 tietoturvapäivitykset

Microsoft on eilen 12.2.2008 n. Klo 20.00 julkistanut normaalin kuukausittaisen julkaisuaikataulun mukaisesti yksitoista (11) uutta tietoturvatiedotetta, joista kooste alla. Tietoturvatiedotteissa on korjattu kaikkiaan 17 haavoittuvuutta Windowsissa ja sen eri komponenteissa sekä Office- ja Works-ohjelmistoissa. Englanninkielinen yhteenveto ja varsinaiset tietoturvatiedotteet löytyvät osoitteesta http://www.microsoft.com/technet/security/bulletin/ms08-feb.mspx.

Luokitukseltaan kriittiset (Critical) tietoturvatiedotteet:
MS08-007 Haavoittuvuus WebDAV-komponentissa (946026)
-        Tiedote koskee seuraavia käyttöjärjestelmiä:

o   Microsoft Windows XP Professional (Service Pack 2)

o   Microsoft Windows XP Professional x64 Edition (alkuperäinen versio ja Service Pack 2)

o   Microsoft Windows Server 2003 (Service Pack 1 ja Service Pack 2)

o   Microsoft Windows Server 2003 for Itanium-based Systems (Service Pack 1 ja Service Pack 2)

o   Microsoft Windows Server 2003 x64 Edition (alkuperäinen versio ja Service Pack 2)

MS08-008 Haavoittuvuus OLE Automation -komponentissa (947890)

-        Tiedote koskee seuraavia käyttöjärjestelmiä ja ohjelmistoja:

o   Microsoft Windows 2000 (Service Pack 4)

o   Microsoft Windows XP Professional (Service Pack 2)

o   Microsoft Windows XP Professional x64 Edition (alkuperäinen versio ja Service Pack 2)

o   Microsoft Windows Server 2003 (Service Pack 1 ja Service Pack 2)

o   Microsoft Windows Server 2003 for Itanium-based Systems (Service Pack 1 ja Service Pack 2)

o   Microsoft Windows Server 2003 x64 Edition (alkuperäinen versio ja Service Pack 2)

o   Microsoft Windows Vista (alkuperäinen versio)

o   Microsoft Windows Vista x64 Edition (alkuperäinen versio)

o   Microsoft Office 2004 for Mac

o   Microsoft Visual Basic 6.0 (Service Pack 6)

MS08-009 Haavoittuvuus Microsoft Word -ohjelmistossa (947077)

-        Tiedote koskee seuraavia ohjelmistoja:

o   Microsoft Office XP (Service Pack 3)

§  Microsoft Word 2002

o   Microsoft Office 2000 (Service Pack 3)

§  Microsoft Word 2000

o   Microsoft Office 2003 (Service Pack 2)

§  Microsoft Word 2003

§  Microsoft Word Viewer 2003

MS08-010 Internet Explorer -selaimen kumulatiivinen päivitys (944533)

-        Tiedote koskee seuraavia käyttöjärjestelmiä:

o   Microsoft Windows 2000 (Service Pack 4)

o   Microsoft Windows XP (Service Pack 2)

o   Microsoft Windows XP Professional x64 Edition (alkuperäinen versio ja Service Pack 2)

o   Microsoft Windows Server 2003 (Service Pack 1 ja Service Pack 2)

o   Microsoft Windows Server 2003 for Itanium-based Systems (Service Pack 1 ja Service Pack 2)

o   Microsoft Windows Server 2003 x64 Edition (alkuperäinen versio ja Service Pack 2)

o   Microsoft Windows Vista

o   Microsoft Windows Vista x64 Edition

MS08-012 Haavoittuvuuksia Microsoft Office Publisher -ohjelmistossa (947085)

-        Tiedote koskee seuraavia ohjelmistoja:

o   Microsoft Office 2003 (Service Pack 2)

§  Office Publisher 2003

o   Microsoft Office XP (Service Pack 3)

§  Office Publisher 2002

o   Microsoft Office 2000 (Service Pack 3)

§  Office Publisher 2000

MS08-013 Haavoittuvuus Microsoft Office -ohjelmistossa (947108)

-        Tiedote koskee seuraavia ohjelmistoja:

-        Microsoft Office 2000 (Service Pack 3)

-        Microsoft Office XP (Service Pack 3)

-        Microsoft Office 2003 (Service Pack 2)

-        Microsoft Office 2004 for Mac

Luokitukseltaan tärkeät (Important) tietoturvatiedotteet:

MS08-003 Haavoittuvuus Active Directory -palvelussa (946538)

-        Tiedote koskee seuraavia käyttöjärjestelmiä:

o   Microsoft Windows 2000 (Service Pack 4) - Huom: ainoastaan palvelinversiot

o   Microsoft Windows XP Professional (Service Pack 2) – Huom: Ainoastaan, jos järjestelmään on asennettu ADAM-hakemistopalvelu

o   Microsoft Windows XP Professional x64 Edition (alkuperäinen versio ja Service Pack 2) – Huom: Ainoastaan, jos järjestelmään on asennettu ADAM-hakemistopalvelu

o   Microsoft Windows Server 2003 (Service Pack 1 ja Service Pack 2)

o   Microsoft Windows Server 2003 for Itanium-based Systems (Service Pack 1 ja Service Pack 2)

o   Microsoft Windows Server 2003 x64 Edition (alkuperäinen versio ja Service Pack 2)

MS08-004 Haavoittuvuus TCP/IP-protokollatoteutuksessa (946456)

-        Tiedote koskee seuraavia käyttöjärjestelmiä:

o   Microsoft Windows Vista (alkuperäinen versio)

o   Microsoft Windows Vista x64 Edition (alkuperäinen versio)

MS08-005 Haavoittuvuus Internet Information Services -palvelussa (942831)

-        Tiedote koskee seuraavia käyttöjärjestelmiä:

o   Microsoft Windows 2000 (Service Pack 4)

o   Microsoft Windows XP Professional (Service Pack 2)

o   Microsoft Windows XP Professional x64 Edition (alkuperäinen versio ja Service Pack 2)

o