Lue uutinen mobiilisivustolla

IE:n haavoittuvuudet kielivät pahasta suunnitteluvirheestä

19.8.2005 09:04 Internet Explorerin uusi msdds.dll-haavoittuvuus on läheistä sukua Microsoftin viime viikolla korjaamille haavoittuvuuksille selaimessa. Perimmäinen syy ongelmiin on Internet Explorerin vapaus käyttää niin kutsuttuja COM-objekteja.

Ranskalainen Frsirt julkaisi keskiviikkona hyödyntämismenetelmän aiemmin tuntemattomaan haavoittuvuuteen IE:ssä.

Haavoittuvuus liittyy Microsoft DDS Library Shape Control (msdds.dll) -nimisen COM-objektin käsittelyyn. Msdds.dll:ää ei oletuksena löydy tavallisesta Windowsista, mutta se asennetaan muun muassa Office XP:n mukana.

Lukuisia COM-ongelmia

Microsoftin COM eli Component Object Model on tekniikka, jolla ohjelmistojen kehittäjät voivat luoda uudelleenkäytettäviä komponentteja. COM-objekteja käytetään Office-sovelluksien yhteistoiminnassa ja niihin kuuluvat myös IE:lle tarkoitetut ActiveX-kontrollit.

Internet Explorer pääsee käsiksi vapaasti käyttöjärjestelmän COM-objekteihin ja niitä voi kutsua ActiveX-kontrolleina www-sivujen komentosarjoilla.

Elokuun päivitysten (MS05-037 ja MS05-038) ja tämän viikon msdds.dll-haavoittuvuuden perusteella lukuisat COM-objektit aiheuttavat ongelmia IE:lle.

Todennäköisesti vastaavia haavoittuvuuksia löytyy lähiaikoina vielä lisää.

"Ei IE:n käyttöön"

Microsoftin torstaina julkaiseman tiedotteen mukaan msdds.dll:ää ei ole tarkoitettu IE:n käytettäväksi. Objektin kutsuminen kaataa selaimen ja syntyvää virhetilaa voidaan edelleen hyödyntää komentojen suorittamiseen.

Microsoft opastaa jälleen käyttäjiä asettamaan rekisteriin niin kutsutun "killbitin", joka estää IE:n pääsyn msdds:ään. Vastaavaa korjausta tarjottiin myös heinäkuussa ennen päivitystä javaprxy.dll:n aukkoon.

ISC vaihtoi Infoconin keltaiseksi

Sans-instituutin Internet Storm Center huomauttaa, että jokaisen ongelmia aiheuttavan COM-objektin kieltämisen sijaan oikeaoppinen tapa olisi sallia IE:lle vain turvallisten COM-objektien käyttö.

ISC patistaakin Microsoftia korjaaman COM-ongelmat yhdellä päivityksellä nykyisen muutama "killbit" kerrallaan -käytännön sijasta.

ISC nosti torstaina Infocon-hälytysjärjestelmänsä keltaiseksi haavoittuvuuden julkisen hyödyntämismenetelmän vuoksi.

Microsoftin tietoturvatiedote 906267, jonka kohdasta Suggested Actions->Workarounds löytyvät yhtiön opastamat suojautumiskonsit. Päivitystä ei ole saatavilla.

Bugtraq:n lista msdds.dll:ää käyttävistä sovelluksista

Microsoft Visual Studio .NET Trial Edition
Microsoft Visual Studio .NET Professional Edition
Microsoft Visual Studio .NET Enterprise Developer Edition
Microsoft Visual Studio .NET Enterprise Architect Edition
Microsoft Visual Studio .NET Academic Edition
Microsoft Visual Studio .NET 2003 Enterprise Architect
Microsoft Visual Studio .NET 2003
Microsoft Visual Studio .NET 2002
Microsoft Visio Professional 2002
Microsoft Visio 2003 Standard
Microsoft Visio 2003 Professional
Microsoft Visio 2003 SP1
Microsoft Visio 2003
Microsoft Visio 2002 Standard SP2
Microsoft Visio 2002 Professional SP2
Microsoft Visio 2002 SP2
Microsoft Visio 2002 SP1
Microsoft Visio 2002
Microsoft Visio 2000 Enterprise Edition SR1
Microsoft Visio 2000 Enterprise Edition
Microsoft Project 98
Microsoft Project 2003 SP1
Microsoft Project 2003
Microsoft Project 2002 SP1
Microsoft Project 2002
Microsoft Project 2000
Microsoft Office XP Developer Edition
Microsoft Office XP SP3
Microsoft Office XP SP2
Microsoft Office XP SP1
Microsoft Office XP
Microsoft Office 2000 Korean Version
Microsoft Office 2000 Japanese Version
Microsoft Office 2000 Chinese Version
Microsoft Office 2000 SP3
Microsoft Office 2000 SP2
Microsoft Office 2000 SP1
Microsoft Office 2000
Microsoft .NET Framework 1.1 SP3
Microsoft .NET Framework 1.1 SP2
Microsoft .NET Framework 1.1 SP1
Microsoft .NET Framework 1.1
Microsoft .NET Framework 1.1
ATI Catalyst Driver

Jaakko Kuivalainen toimitus@digitoday.fi

Kirjoita kommentti

Ohjeet: Pysy aiheessa ja kirjoita napakasti. Muista, että haastateltavilla, kanssakeskustelijoilla ja toimittajilla on oikeus omaan, eriävään mielipiteeseen. Ole kohtelias ja ystävällinen, äläkä tarkoituksella provosoi tai hauku muita keskustelijoita. Taloussanomat varaa oikeuden poistaa asiattomat viestit. Varauduthan siihen, että linkkejä sisältävät viestit tarkistetaan yksitellen roskapostin suodattamiseksi. Arvostamme mielipidettäsi!
Lue koko keskusteluetiketti

Bottivarmistus: mitä on kaksi ynnä viisi?

Viesti Nimi

Uutiset

Accenture haluaa eroon entisistä nokialaisista

• Seksuaalirikoksesta epäilty valmentaja löytyi kuolleena sellistä
• Tällainen on Iron Sky -elokuva
• Acta on kansainvälinen väärennössopimus
• Putkirikko loi pienen järven Sörnäisten rantatielle – katso video