Tietoturvayhtiö Deusen on löytänyt Microsoftin Internet Explorer 10 ja 11-selaimista universaalin Cross Site Scripting-haavoittuvuuden, jonka avulla hyökkääjä voi ohittaa selaimen suojauksia ja asettaa haitallista koodia muille sivustoille.

Deusen on julkaissut haavoittuvuudesta demonstraation, jossa XSS-haavoittuvuuden toimintaa esitellään harmittomalla sisältölisäyksellä.

Haavoittuvuuden avulla hyökkääjän on mahdollista asettaa toiselle verkkosivulle haitallista ohjelmakoodia houkuttelemalla ensin uhri omalle sivustolleen. Tämä voi tapahtua myös käyttäjän huomaamatta.

Hyökkääjän ohjelmakoodin asettaminen vieraille verkkosivuille mahdollistaa mm. käyttäjätunnuksien ja salasanojen urkkimisen, kirjautuneen session haltuunottamisen sekä altistaa käyttäjän haittaohjelmalatauksille tai muulle haitalliselle sisällölle. Haavoittuvuutta on kuvattu universaaliksi siksi, että se ei toimiakseen edellytä haavoittuvuuksia kohdesivustossa, vaan hyväksikäyttää selaimen puutteellista suojausta.

Hyökkäys ohittaa ns. "same origin policy"-suojauksen, joka toimiessaan estää vieraita sivuja asettamasta ohjelmakoodia toisille verkkosivustoille.

Microsoft työstää parhaillaan korjaavaa ohjelmistopäivitystä. Päivitystä odotellessa ongelmaa voi rajoittaa käyttämällä vaihtoehtoista verkkoselainta.

• Palvelimet ja palvelinsovellukset
• Työasemat ja loppukäyttäjäsovellukset
• Verkon aktiivilaitteet
• Matkaviestinjärjestelmät
• Sulautetut järjestelmät
• Muut

Kohde

• Työasemat ja loppukäyttäjäsovellukset

Hyökkäystapa

• Ilman kirjautumista
• Etäkäyttö
• Ilman käyttäjän toimia

Hyväksikäyttö

• Käyttövaltuuksien laajentaminen
• Tietojen muokkaaminen
• Luottamuksellisen tiedon hankkiminen
• Suojauksen ohittaminen

Ratkaisu

• Ongelman rajoittaminen
• Ei päivitystä

Haavoittuvat ohjelmistot:

• Internet Explorer 10 (Windows 7 / 8 / 8.1)
• Internet Explorer 11 (Windows 7 / 8 / 8.1)

Ratkaisu- ja rajoitusmahdollisuudet:

• Korjausta ei vielä julkaistu
• Vaihtoehtoisen selaimen käyttäminen

Lisätietoa:

http://seclists.org/fulldisclosure/2015/Feb/0

http://www.deusen.co.uk/items/insider3show.3362009741042107/

http://innerht.ml/blog/ie-uxss.html

http://www.pcworld.com/article/2879372/dangerous-ie-vulnerability-opens-door-to-powerful-phishing-attacks.html

Trend Micro on löytänyt Adobe Flash Playerista korjaamattoman, ns. "nollapäivähaavoittuvuuden" jota käytetään aktiivisesti hyväksi haittaohjelmien ujuttamisessa käyttäjien koneelle. Haavoittuvuutta on käytetty osana Angler Exploit Kit-levitysjärjestelmää.

Päivitys 5.2.2015: Adobe on julkaissut haavoittuvuuden korjaavan päivityksen. Päivityksen voi asentaa Adoben ohjeiden avulla. 

Uutta haavoittuvuutta on tavattu osana ns. "malvertising"-kampanjaa, jossa luotettujen verkkosivustojen mainoksien yhteyteen lisätään haitallista koodia. Tässä tapauksessa haitallinen koodi on ollut haavoittuvuutta hyväksikäyttävä Flash-objekti.

Malvertising-kampanjoilta ja muilta haitallisilta web-sisällöiltä voi myös suojautua käyttämällä internetselaimessa AdBlock-mainostenestoliitännäistä. AdBlockin lisäksi käyttäjä voi lisätä selaimensa tietoturvaa käyttämällä Scriptblock-liitännäistä joka estää JavaScript-koodin ajamisen ilman käyttäjän lupaa sekä Flashblock-liitännäistä, joka estää verkkosivuja ajamasta muita kuin käyttäjän erikseen hyväksymiä Flash-komponentteja. Liitännäisten nimet vaihtelevat käytettävän selaimen mukaan, mutta vastaavalla toiminnallisuudella varustettuja liitännäisiä löytyy kaikille yleisesti käytetyille verkkoselaimille.

• Palvelimet ja palvelinsovellukset
• Työasemat ja loppukäyttäjäsovellukset
• Verkon aktiivilaitteet
• Matkaviestinjärjestelmät
• Sulautetut järjestelmät
• Muut

Kohde

• Työasemat ja loppukäyttäjäsovellukset

Hyökkäystapa

• Ilman kirjautumista
• Etäkäyttö
• Ilman käyttäjän toimia

Hyväksikäyttö

• Komentojen mielivaltainen suorittaminen
• Käyttövaltuuksien laajentaminen
• Tietojen muokkaaminen
• Luottamuksellisen tiedon hankkiminen
• Palvelunestohyökkäys
• Suojauksen ohittaminen

Ratkaisu

• Korjaava ohjelmistopäivitys
• Ongelman rajoittaminen

Haavoittuvat ohjelmistot:

• Adobe Flash Player 16.0.0.296 (Windows ja Macintosh) sekä aiemmat versiot.
• Adobe Flash Player 13.0.0.264 ja 13.x-versiot.

Ratkaisu- ja rajoitusmahdollisuudet:

• Flash Playerin poistaminen käytöstä
• Mahdollisesti haitallisen sisällön suodattaminen liitännäisillä

Lisätietoa:

•  
• https://helpx.adobe.com/security/products/flash-player/apsa15-02.html
• http://blog.trendmicro.com/trendlabs-security-intelligence/trend-micro-discovers-new-adobe-flash-zero-day-exploit-used-in-malvertisements/
• CVE-2015-0313
•  

Apple on julkaissut päivityksiä, jotka korjaavat useita haavoittuvuuksia muun muassa Mac OS X ja iOS -käyttöjärjestelmistä sekä Safari-selaimesta

Apple on julkaissut päivityksiä seuraaviin ohjelmistoihin ja käyttöjärjestelmiin:

• Palvelimet ja palvelinsovellukset
• Työasemat ja loppukäyttäjäsovellukset
• Verkon aktiivilaitteet
• Matkaviestinjärjestelmät
• Sulautetut järjestelmät
• Muut

Kohde

• Työasemat ja loppukäyttäjäsovellukset
• Matkaviestinjärjestelmät
• Sulautetut järjestelmät

Hyökkäystapa

• Paikallisesti
• Ilman kirjautumista
• Etäkäyttö
• Ilman käyttäjän toimia

Hyväksikäyttö

• Komentojen mielivaltainen suorittaminen
• Käyttövaltuuksien laajentaminen
• Tietojen muokkaaminen
• Luottamuksellisen tiedon hankkiminen
• Palvelunestohyökkäys
• Suojauksen ohittaminen

Ratkaisu

• Korjaava ohjelmistopäivitys

Haavoittuvat ohjelmistot:

• iOS 8.1.3 -käyttöjärjestelmää edeltävät versiot seuraaville laitteille: iPhone 4s ja myöhemmät versiot, iPod touch -laitteet viidennestä laitesukupolvesta eteenpäin , sekä iPad 2 ja sen uudemmat versiot
• Apple TV 7.0.3 -käyttöjärjestelmää edeltävät versiot Apple TV:n kolmannen sukupolven ja sitä uudemmille laiteille
• OS X Mavericks 10.10.2 -käyttöjärjestelmää ja suojauspäivitystä 2015-001 edeltävät ohjelmistoversiot
• Safari 8.0.3, Safari 7.1.3 ja Safari 6.2.3 -ohjelmistojen edeltävät versiot

Ratkaisu- ja rajoitusmahdollisuudet:

Käyttöjärjestelmän ja ohjelmistojen päivitysten asentaminen valmistajan ohjeiden mukaisesti.

Lisätietoa:

•  
• http://support.apple.com/en-us/HT1222
• http://support.apple.com/en-us/HT204246
• http://support.apple.com/en-us/HT204245
• http://support.apple.com/en-us/HT204243
• http://support.apple.com/en-us/HT204244
• CVE-2011-2391
• CVE-2014-1595
• CVE-2014-3192
• CVE-2014-3192
• CVE-2014-3192
• CVE-2014-3192
• CVE-2014-3566
• CVE-2014-3567
• CVE-2014-3568
• CVE-2014-4371
• CVE-2014-4389
• CVE-2014-4419
• CVE-2014-4420
• CVE-2014-4421
• CVE-2014-4426
• CVE-2014-4455
• CVE-2014-4455
• CVE-2014-4455
• CVE-2014-4459
• CVE-2014-4459
• CVE-2014-4459
• CVE-2014-4460
• CVE-2014-4461
• CVE-2014-4465
• CVE-2014-4465
• CVE-2014-4465
• CVE-2014-4466
• CVE-2014-4466
• CVE-2014-4466
• CVE-2014-4467
• CVE-2014-4467
• CVE-2014-4468
• CVE-2014-4468
• CVE-2014-4468
• CVE-2014-4469
• CVE-2014-4469
• CVE-2014-4469
• CVE-2014-4470
• CVE-2014-4470
• CVE-2014-4470
• CVE-2014-4471
• CVE-2014-4471
• CVE-2014-4471
• CVE-2014-4472
• CVE-2014-4472
• CVE-2014-4472
• CVE-2014-4473
• CVE-2014-4473
• CVE-2014-4473
• CVE-2014-4474
• CVE-2014-4474
• CVE-2014-4474
• CVE-2014-4475
• CVE-2014-4475
• CVE-2014-4475
• CVE-2014-4476
• CVE-2014-4476
• CVE-2014-4476
• CVE-2014-4476
• CVE-2014-4477
• CVE-2014-4477
• CVE-2014-4477
• CVE-2014-4477
• CVE-2014-4479
• CVE-2014-4479
• CVE-2014-4479
• CVE-2014-4479
• CVE-2014-4480
• CVE-2014-4480
• CVE-2014-4480
• CVE-2014-4481
• CVE-2014-4481
• CVE-2014-4481
• CVE-2014-4481
• CVE-2014-4483
• CVE-2014-4483
• CVE-2014-4483
• CVE-2014-4483
• CVE-2014-4484
• CVE-2014-4484
• CVE-2014-4484
• CVE-2014-4484
• CVE-2014-4485
• CVE-2014-4485
• CVE-2014-4485
• CVE-2014-4485
• CVE-2014-4486
• CVE-2014-4486
• CVE-2014-4486
• CVE-2014-4486
• CVE-2014-4487
• CVE-2014-4487
• CVE-2014-4487
• CVE-2014-4487
• CVE-2014-4488
• CVE-2014-4488
• CVE-2014-4488
• CVE-2014-4488
• CVE-2014-4489
• CVE-2014-4489
• CVE-2014-4489
• CVE-2014-4489
• CVE-2014-4491
• CVE-2014-4491
• CVE-2014-4491
• CVE-2014-4491
• CVE-2014-4492
• CVE-2014-4492
• CVE-2014-4492
• CVE-2014-4492
• CVE-2014-4493
• CVE-2014-4493
• CVE-2014-4494
• CVE-2014-4494
• CVE-2014-4495
• CVE-2014-4495
• CVE-2014-4495
• CVE-2014-4495
• CVE-2014-4496
• CVE-2014-4496
• CVE-2014-4496
• CVE-2014-4497
• CVE-2014-4498
• CVE-2014-4499
• CVE-2014-6277
• CVE-2014-7186
• CVE-2014-7187
• CVE-2014-8517
• CVE-2014-8816
• CVE-2014-8817
• CVE-2014-8819
• CVE-2014-8820
• CVE-2014-8821
• CVE-2014-8822
• CVE-2014-8823
• CVE-2014-8824
• CVE-2014-8825
• CVE-2014-8826
• CVE-2014-8827
• CVE-2014-8828
• CVE-2014-8829
• CVE-2014-8830
• CVE-2014-8831
• CVE-2014-8832
• CVE-2014-8833
• CVE-2014-8834
• CVE-2014-8835
• CVE-2014-8836
• CVE-2014-8837
• CVE-2014-8838
• CVE-2014-8839
• CVE-2014-8840
• CVE-2014-8840
•  

Päivityshistoria

28.01.2015 klo 09:12