Windowsin Flash-aukko kriittisin turva-ongelma
0
Microsoft on julkaissut kolme uutta tietoturvapäivitystä, joista kaksi korjaa kriittisiä turva-aukkoja. Vakavin aukko liittyy web-sivuilla käytettävien Macromedia Flash -multimediasisältöjen toisto-ohjelmaan, joka on upotettu Windowsin sisään.
Toinen aukko koskee Microsoftin Exchange -sähköpostipalvelinta, ja sen kalenteritietoja. Molemmat aukot ovat kriittisiä, eli niitä voidaan käyttää melko helposti internetin kautta tehtäviin hyökkäyksiin. Kolmas nyt julkaistu turvapäivitys liittyy Windowsin DTC-palveluun, mutta ongelman luokitus on vain keskitasoa, eli se ei ole kovin vaarallinen.
Flash-player haavoittuva
Turvapäivitys MS06-020 koskee Windows-käyttöjärjestelmän mukana toimitettavaa Adoben Macromedia Flash Player -komponenttia. Komponentista on löytynyt kaksi haavoittuvuutta, jotka liittyvät swf-tiedostojen käsittelyyn. Vihamielinen hyökkääjä voi hyödyntää haavoittuvuuksia sijoittamalla sopivasti muotoillun swf-tiedoston vaikkapa internet-sivuille ja houkuttelemalla käyttäjän sinne. Kun selain aukaisee sivun, haavoittuvuudet antavat hyökkääjälle mahdollisuuden suorittaa haluamaansa ohjelmakoodia uhrikoneessa.
Ongelma löytyy kaikista Windows XP versioista, sekä vanhemmista 98- ja ME-versioista. Myös Adobe varoittaa sivuillaan kyseisestä ongelmasta.
Exchangea voi huijata kalenteritiedoilla
MS06-019-päivitys liittyy Exchange-sähköpostipalvelimen tapaan käsitellä sille välitettyjä ical- (Internet Calendar) tai vcal-muotoisia (Virtual Calendar) kalenteritietoja. Näitä tietomuotoja käytetään välitettäessä kalenteriin liittyviä sanomia, esimerkiksi kokouskutsuja Exchange-palvelimien välillä.
Hyökkääjä voisi hyödyntää haavoittuvuutta lähettämällä Exchange-palvelimelle esimerkiksi sähköpostiviestin, joka sisältää sopivasti muotoillun ical- tai vcal-sisällön. Tätä kautta hyökkääjä voisi suorittaa haluamaansa ohjelmakoodia uhrikoneessa.
Pienempi ongelma Windowsissa
Päivitys MS06-018 koskee Microsoftin Distributed Transaction Coordinator -palvelua (dtc). Palvelusta on löytynyt kaksi haavoittuvuutta, jotka molemmat liittyvät muistinkäsittelyvirheisiin. Hyökkääjä voisi ongelman avulla aiheuttaa kuitenkin vain palvelun jumiutumisen, eli kyseessä ei ole kriittinen ongelma.
