Digitoday 12.12.01
(http://www.digitoday.fi/digi98fi.nsf/pub/dd20011
212105231_ea_26840924)
"Uudet versiot 5.5 ja 6 tulilinjalla
Explorerissa vaihteeksi ammottava turva-aukko
Elias Aarnio Julkaistu 12.12.2001 10:52
Turku (12.12.2001) - Internet Explorerista aika
ajoin löytyvät pienemmät tietoturva-aukot ovat
saaneet ladonoven kokoisen kaverin. Suomalainen
Jouko Pynnönen on löytänyt reiän, joka jättää
käyttäjän koneen avoimeksi hyökkäyksille aina
kun selainta käytetään. Microsoft on tiennyt
asiasta marraskuun 19. päivästä saakka -
korjauspäivityksestä ei kuitenkaan ole vielä
tietoa.
Microsoftin Explorer-selaimen arkisten,
pienempien tietoturvaongelmien lisäksi
uusimmista versioista 5.5 ja 6 on löytynyt
vakava tietoturva-aukko. Suomalaisessa Online
Solutions Oy:ssä työskentelevä Jouko Pynnönen
kertoo Newsbyten jutussa tiedottaneensa turva-
aukosta Microsoftille 19. marraskuuta ja että
Microsoft hiljattain on kokeillut vian korjaavaa
turvapäivitystä.
Paha vika - Microsoft häärää korjausta
hiljaisuudessa
Pynnönen ei ole paljastanut aukkoon liittyviä
teknisiä yksityiskohtia kovin tarkkaan vedoten
vian vakavuuteen. Vian olemus liittyy kuitenkin
siihen, että selaimen tapa käsitellä kovalevylle
ladattavia tiedostoja turvallisesti on
ohitettavissa. Microsoftilta ei, kuten
tavallista, ole kuulunut asiasta vielä mitään.
Myöskään turvapäivityksen saatavuuden
ajankohdasta ei ole tietoa. Hiljaisuuden
ymmärtää - kyseessä on monen eri tietoturva-
asiantuntijan mukaan pahin yksittäinen IE:n
turvaongelma.
Mikä tahansa mahdollista käyttäjän huomaamatta
Tietoturva-ammattilaisten suosimalle Bugtrack-
listalle 26. marraskuuta lähettämässään
viestissä Pynnönen toteaa, että koska exe-
tiedostojen automaattisen ajamisen estävän
järjestelmän kiertäminen onnistuu verrattain
helposti, erilaisten virusten, takaovien,
palvelunestohyökkäyksiä suorittavien ohjelmien
ja jopa kiintolevyn formatoiminen on mahdollista
käyttäjän sitä huomaamatta.
Sen Pynnönen on paljastanut, että vika piilee
IE:n tavassa käsitellä tiedostojen header-
tietueita. Vian vaarallisuus piilee siinä, että
sitä voidaan hyödyntää tavalliselle www-sivun
lähdekoodiin sisällytettävällä ohjelmanpätkällä
ilman että tarvitsee käyttää edes Javaa tai
skriptejä.
Pynnösen mukaan myös Outlook, joka käyttää IE:n
ohjelmallisia osia viestien näyttämiseen,
saattaa olla vaaravyöykkeessä. Sama koskee
Eudora-sähköpostiohjelmaa, jos HTML-viestit
näytetään IE:llä.
Pynnösen alkuperäinen artikkeli löytyy Online
Solutionsin sivuilta.
Miten suojautua?
Sillä aikaa kun Redmondin reiskat raapivat
kasaan korjausta, suojautua voi kytkemällä
IE:stä tiedostojen lataamismahdollisuuden pois
päältä. Muu ei auta.
Jos taas ainaiset tietoturvaongelmat nyppivät,
kannattaa käydä hakemassa ja kokeilla
vaihtoehtoista selainta, jossa on ainakin
toistaiseksi ollut huomattavasti vähemmän
ongelmia.
Sitä saa mitä tilaa - myös Microsoft
Microsoftin aseman tekee kummalliseksi ja
hankalaksi se, että se on tieten tahtoen
jättänyt noudattamatta tiedostojen lataamiseen
liittyvää http-protokollastandardia. Vian
korjaamiseen voi olla hankalaa löytää tapaa,
joka ei pakottaisi kirjoittamaan uudelleen
kaikkia sivuja, jotka ovat "Internet Explorer -
optimoituja" ja joilla on ladattavia tiedostoja.
On mielenkiintoista nähdä, miten ohjelmistojätti
hoitaa tämän ongelman, jonka se on saanut aikaan
luomalla de facto-standardin, joka tieten
tahtoen poikkeaa muiden noudattamasta
standardista."
(http://www.digitoday.fi/digi98fi.nsf/pub/dd20011
212105231_ea_26840924)
"Uudet versiot 5.5 ja 6 tulilinjalla
Explorerissa vaihteeksi ammottava turva-aukko
Elias Aarnio Julkaistu 12.12.2001 10:52
Turku (12.12.2001) - Internet Explorerista aika
ajoin löytyvät pienemmät tietoturva-aukot ovat
saaneet ladonoven kokoisen kaverin. Suomalainen
Jouko Pynnönen on löytänyt reiän, joka jättää
käyttäjän koneen avoimeksi hyökkäyksille aina
kun selainta käytetään. Microsoft on tiennyt
asiasta marraskuun 19. päivästä saakka -
korjauspäivityksestä ei kuitenkaan ole vielä
tietoa.
Microsoftin Explorer-selaimen arkisten,
pienempien tietoturvaongelmien lisäksi
uusimmista versioista 5.5 ja 6 on löytynyt
vakava tietoturva-aukko. Suomalaisessa Online
Solutions Oy:ssä työskentelevä Jouko Pynnönen
kertoo Newsbyten jutussa tiedottaneensa turva-
aukosta Microsoftille 19. marraskuuta ja että
Microsoft hiljattain on kokeillut vian korjaavaa
turvapäivitystä.
Paha vika - Microsoft häärää korjausta
hiljaisuudessa
Pynnönen ei ole paljastanut aukkoon liittyviä
teknisiä yksityiskohtia kovin tarkkaan vedoten
vian vakavuuteen. Vian olemus liittyy kuitenkin
siihen, että selaimen tapa käsitellä kovalevylle
ladattavia tiedostoja turvallisesti on
ohitettavissa. Microsoftilta ei, kuten
tavallista, ole kuulunut asiasta vielä mitään.
Myöskään turvapäivityksen saatavuuden
ajankohdasta ei ole tietoa. Hiljaisuuden
ymmärtää - kyseessä on monen eri tietoturva-
asiantuntijan mukaan pahin yksittäinen IE:n
turvaongelma.
Mikä tahansa mahdollista käyttäjän huomaamatta
Tietoturva-ammattilaisten suosimalle Bugtrack-
listalle 26. marraskuuta lähettämässään
viestissä Pynnönen toteaa, että koska exe-
tiedostojen automaattisen ajamisen estävän
järjestelmän kiertäminen onnistuu verrattain
helposti, erilaisten virusten, takaovien,
palvelunestohyökkäyksiä suorittavien ohjelmien
ja jopa kiintolevyn formatoiminen on mahdollista
käyttäjän sitä huomaamatta.
Sen Pynnönen on paljastanut, että vika piilee
IE:n tavassa käsitellä tiedostojen header-
tietueita. Vian vaarallisuus piilee siinä, että
sitä voidaan hyödyntää tavalliselle www-sivun
lähdekoodiin sisällytettävällä ohjelmanpätkällä
ilman että tarvitsee käyttää edes Javaa tai
skriptejä.
Pynnösen mukaan myös Outlook, joka käyttää IE:n
ohjelmallisia osia viestien näyttämiseen,
saattaa olla vaaravyöykkeessä. Sama koskee
Eudora-sähköpostiohjelmaa, jos HTML-viestit
näytetään IE:llä.
Pynnösen alkuperäinen artikkeli löytyy Online
Solutionsin sivuilta.
Miten suojautua?
Sillä aikaa kun Redmondin reiskat raapivat
kasaan korjausta, suojautua voi kytkemällä
IE:stä tiedostojen lataamismahdollisuuden pois
päältä. Muu ei auta.
Jos taas ainaiset tietoturvaongelmat nyppivät,
kannattaa käydä hakemassa ja kokeilla
vaihtoehtoista selainta, jossa on ainakin
toistaiseksi ollut huomattavasti vähemmän
ongelmia.
Sitä saa mitä tilaa - myös Microsoft
Microsoftin aseman tekee kummalliseksi ja
hankalaksi se, että se on tieten tahtoen
jättänyt noudattamatta tiedostojen lataamiseen
liittyvää http-protokollastandardia. Vian
korjaamiseen voi olla hankalaa löytää tapaa,
joka ei pakottaisi kirjoittamaan uudelleen
kaikkia sivuja, jotka ovat "Internet Explorer -
optimoituja" ja joilla on ladattavia tiedostoja.
On mielenkiintoista nähdä, miten ohjelmistojätti
hoitaa tämän ongelman, jonka se on saanut aikaan
luomalla de facto-standardin, joka tieten
tahtoen poikkeaa muiden noudattamasta
standardista."
Vastaukset 4
Vanhimmat
Onneksi on vaihtoehtoja. Itse suosin Norjalaista Operaa. Vaikka Operakaan ei ole ongelmaton tietoturva asioissa.
http://www.opera.com/
En ole hakenut yhtään tietoturvapäivitystä, enkä
viitsi vaivautua.... niitähän tulee joka viikko.
Koneellani ei ole mitään tärkeää, jos joku
murtautuu sinne ja pistää systeemit sekaisin,
käytän muutaman tunnin joku päivä siihen että
asennan kaiken uudelleen....
Mutta entäs sitten kun poliisi-setä hakkaa oven takana ja kysyy, miksi olet murtautunut yrityksen X-tietojärjestelmiin ja "lainannut" yhtiön salaisia tietoja? Vaikka mahdollisuus olisikin pieni, se on aina olemassa, että joku pahan suopa käyttää konettasi hyökkäykseen todelliseen kohteeseensa ja viaton käyttäjä saa syyt niskoilleen.
Ei ole suurikaan ongelma asentaa käyttistä ja ohjelmia uudestaan. Tuleepahan vuosittainen uudelleen asennus tehtyä :-)
Tuohon olen sentään varautunut...;)
Eli käytän tehokasta palomuuria, senhän pitäisi riittää?
Ja kyllä ne poliisisedät sitten uskoo että en ollut itse syyllinen..... toivottavasti...;))))))))