Microsoftin joulukuun 2006 tietoturvatiedotteet

Article
12/12/2006

Microsoft on normaalin julkaisuaikataulun mukaisesti eilen illalla julkaissut joulukuun tietoturvatiedotteet, joista kooste alla. Viime viikon lopulla julkaistusta ennakkotiedosta poiketen uusia tiedotteita julkaistiin 7 kappaletta (ennakkotiedossa mainittiin 6 uutta tiedotetta). Tiedotteista 6 koskee Windowsia (näistä tiedotteista kaksi on kriittisiä luokitukseltaan, ja loput 4 tärkeitä) tai jotain sen komponenttia ja seitsemäs Visual Studio 2005 -kehitysympäristöä (VS2005:ttä koskeva tiedote on luokitukseltaan kriittinen). Tiedotteissa on korjattu kaikkiaan 11 haavoittuvuutta.

Edellisten kuukausien tapaan järjestämme tänään 13.12. iltapäivällä klo 15.00 tietoturvatiedotteita koskevan webcastin, josta lisätietoja ja ilmoittautumislinkki löytyy täältä.

=============

1. Yhteenveto

=============

Luokitukseltaan kriittiset (Critical) tietoturvatiedotteet:

MS06-072 Internet Explorerin kumulatiivinen päivitys (925454)

MS06-073 Haavoittuvuus Visual Studio 2005 -kehitysympäristössä (925674)

MS06-078 Haavoittuvuuksia Windows Media Playerissä (923689)

Luokitukseltaan tärkeät (Important) tietoturvatiedotteet:

MS06-074 Haavoittuvuus SNMP-palvelussa (926247)

MS06-075 Haavoittuvuus Windowsin CSRSS-palvelussa (926255)

MS06-076 Outlook Expressin kumulatiivinen päivitys (923694)

MS06-077 Haavoittuvuus Windows 2000:n RIS-palvelussa (926121)

Käyttöjärjestelmät, joita tiedotteet koskevat:

===========================================================

| | 2000 | XP | 2003 | Vista |

-----------------------------------------------------------

-----------------------------------------------------------

-----------------------------------------------------------

-----------------------------------------------------------

-----------------------------------------------------------

| MS06-077 | XXXX | | | |

-----------------------------------------------------------

===========================================================

Edellisten lisäksi tiedote MS06-073 Visual Studio 2005 -kehitysympäristöä, ja tiedote MS06-078 Media Playerin versioita 6.4 - 9.5.

Tietoja Microsoftin tietoturvatiedotteisiin liittyvästä tiedottamisesta löytyy osoitteesta https://www.microsoft.com/finland/security/info/. Yleisiä

huomioita tietoturvatiedotteista löytyy osoitteesta https://www.microsoft.com/finland/security/info/bulletins.asp. Ajankohtaista tietoa löytyy myös Suomen Microsoftin tietoturvablogista osoitteessa https://blogs.technet.com/tietoturvan_weblogi/.

========================================

2. Kooste uusista tietoturvatiedotteista

========================================

MS06-072 Cumulative Security Update for Internet Explorer (925454)

Luokitus: Kriittinen (Critical)

Tiedote MS06-072 koskee Internet Explorer -selainohjelman kumulatiivista

tietoturvapäivitystä. Internet Explorerista on löydetty neljä eri

haavoittuvuutta, joiden kaikkien korjaus sisältyy tiedotteen MS06-072

mukaiseen päivityspakettiin. Ensimmäinen haavoittuvuuksista liittyy IE:n tapaan käsitellä web-sivulla olevassa Script-ohjelmakoodissa olevia virheitä, ja toinen IE:n tapaan käsitellä DHTML-ohjelmakoodia. Nämä kaksi haavoittuvuutta antavat vihamieliselle hyökkääjälle mahdollisuuden suorittaa haluamaansa ohjelmakoodia kohteena olevassa järjestelmässä (Remote Code Execution -tyyppinen haavoittuvuus. Ohjelmakoodi suoritetaan järjestelmään kirjautuneen käyttäjän käyttöoikeuksilla.

Kaksi muuta haavoittuvuutta liittyvät IE:n tapaan käsitellä drag-and-drop-pyyntöjä ja web-sivulla olevia tietyllä tavalla muotoiltuja OBJECT-määritteitä. Nämä haavoittuvuudet antavat vihamieliselle hyökkääjälle mahdollisuuden päästä käsiksi selaimen tilapäiskansioissa (TIF, Temporary Internet Files) oleviin tietoihin (Information Disclosure -tyyppinen haavoittuvuus).

Huomautuksia:

- Haavoittuvuuksien aiheuttamaa riskiä voidaan pienentää määrittämällä IE pyytämään käyttäjän lupaa, ennen kuin web-sivulla oleva Script-ohjelmakoodi suoritetaan, tai poistamalla Active Scripting -käytöstä esimerkiksi hyödyntämällä IE:n vyöhykemäärityksiä.

- Tiedotteen mukainen korjaus korvaa tiedotteen MS06-067 mukaisen korjauksen.

* Korjaus vaatii järjestelmän uudelleenkäynnistyksen asennuksen jälkeen.

* Korjauksen asennuksen voi peruuttaa.

* Korjaus voidaan tunnistaa MBSA-ohjelmiston (Microsoft Baseline Security Analyzer) versioilla 1.2.1 ja 2.0.

* Korjaus voidaan asentaa SMS-ohjelmiston (Systems Management Server) avulla.

* Korjaus voidaan asentaa Windows Update- ja Microsoft Update –sivustojen sekä Software Update Services- ja Windows Server Update Services –palvelujen avulla.

* Korjaus tulee saataville Microsoftin Downloads-sivustoon (https://www.microsoft.com/downloads, linkit yksittäisiin korjauksiin löytyvät englanninkielisestä tiedotteesta osoitteessa https://www.microsoft.com/technet/security/Bulletin/MS06-072.mspx).

Haavoittuvuus koskee seuraavia käyttöjärjestelmän ja selaimen yhdistelmiä:

- Microsoft Windows 2000 (Service Pack 4) - Internet Explorer 5.01 (Service Pack 4) ja Internet Explorer 6 (Service Pack 1)

- Microsoft Windows XP (Service Pack 2) – Internet Explorer 6

- Microsoft Windows XP Professional x64 Edition - Internet Explorer 6

- Microsoft Windows Server 2003 (alkuperäinen versio ja Service Pack 1) - Internet Explorer 6

- Microsoft Windows Server 2003 for Itanium-based Systems (alkuperäinen

versio ja Service Pack 1) - Internet Explorer 6

- Microsoft Windows Server 2003 x64 Edition - Internet Explorer 6

Haavoittuvuus EI koske seuraavia selaimen versioita:

- Internet Explorer 7 - kaikki käyttöjärjestelmät

Haavoittuvuuteen liittyviä lisätietoja ja linkit korjauksen eri versioihin

löytyvät Microsoftin Web-sivustosta seuraavista osoitteista:

https://www.microsoft.com/technet/security/bulletin/ms06-dec.mspx

https://www.microsoft.com/technet/security/Bulletin/MS06-072.mspx

https://support.microsoft.com/kb/925454

------------------------------------------------------------

MS06-073 - Vulnerability in Visual Studio 2005 Could Allow Remote Code Execution (925674)

Luokitus: Kriittinen (Critical)

Tiedote MS06-073 koskee Microsoftin Visual Studio 2005 -sovelluskehitysympäristön mukana toimitettavaa WMI Object Broker -ActiveX-komponenttia. Komponenttia käytetään Visual Studio 2005:ssä määritettäessä WMI-toiminnallisuutta (Windows Management Instrumentation) käyttämällä Visual Studio 2005:n WMI Wizard -toimintoa. ActiveX-komponentista on löytynyt haavoittuvuus, joka liittyy komponentin tapaan käsitellä muiden käytettävien komponenttien käynnistyskutsuja.

Vihamielinen hyökkääjä voi hyödyntää haavoittuvuutta haluamansa ohjelmakoodin suorittamiseen kohteena olevassa järjestelmässä (Remote Code Execution -tyyppinen haavoittuvuus). Ohjelmakoodi suoritetaan järjestelmään kirjautuneen käyttäjän käyttäjäoikeuksilla.

Huomautuksia:

* Haavoittuvuus koskee ainoastaan järjestelmiä, joihin on asennettu Visual Studio 2005 -kehitysympäristö.

* Havoittuvuuden aiheuttamaa riskiä voidaan pienentää estämällä ActiveX-komponentin kutsuminen IE:n välityksellä käyttämällä ns. kill-bit-määritystä. Lisätietoja on englanninkielisen tiedotteen workarounds-osiossa.

* Korjaus saattaa vaatia järjestelmän uudelleenkäynnistyksen asennuksen jälkeen.

* Korjauksen asennuksen voi peruuttaa.

* Korjaus voidaan tunnistaa MBSA-ohjelmiston (Microsoft Baseline Security Analyzer) versiolla 2.0.

* Korjaus voidaan asentaa SMS-ohjelmiston (Systems Management Server) avulla.

* Korjaus voidaan asentaa Microsoft Update -sivuston sekä Windows Server Update Services –palvelun avulla.

* Korjaus tulee saataville Microsoftin Downloads-sivustoon (https://www.microsoft.com/downloads, linkit yksittäisiin korjauksiin

löytyvät englanninkielisestä tiedotteesta osoitteessa https://www.microsoft.com/technet/security/Bulletin/MS06-073.mspx).

* Tarkempia tietoja asennus- ja tunnistusmahdollisuuksista korjauksen eri versioille on englanninkielisessä tiedotteessa.

Haavoittuvuus koskee seuraavia Visual Studion versioita:

- Microsoft Visual Studio 2005

Haavoittuvuus EI koske seuraavia Visual Studion versioita:

- Microsoft Visual Studio 6.0 (Service Pack 2)

- Microsoft Visual Studio .NET 2002 (Service Pack 1)

- Microsoft Visual Studio .NET 2003 (Service Pack 1)

Haavoittuvuuteen liittyviä lisätietoja ja linkit korjauksen eri versioihin löytyvät Microsoftin Web-sivustosta seuraavista osoitteista:

https://www.microsoft.com/technet/security/bulletin/ms06-dec.mspx

https://www.microsoft.com/technet/security/Bulletin/MS06-073.mspx

https://support.microsoft.com/kb/925674

------------------------------------------------------------

MS06-074 Vulnerability in SNMP Could Allow Remote Code Execution (926247)

Luokitus: Tärkeä (Important)

Tiedote MS06-074 koskee Windowsin mukana toimitettavaa SNMP-palvelua (Simple Network Management Protocol). SNMP-palvelua käytetään joissain ympäristössä etähallintaan. Palvelusta on löydetty puskuriylivuotohaavoittuvuus, joka antaa vihamieliselle hyökkääjällemahdollisuuden suorittaa haluamaansa ohjelmakoodia kohtena olevassa järjestelmässä (Remote Code Execution -tyyppinen haavoittuvuus). Vihamielinen hyökkääjä voi hyödyntää haavoittuvuutta lähettämällä kohtena olevaan järjestelmään tietyllä tavalla muotoillun SNMP-paketin. Kun SNMP-palvelu käsittelee verkkopaketin, aiheuttaa se muistinkäsittelyvirheen ja antaa hyökkääjälle mahdollisuuden suorittaa halumaansa ohjelmakoodia. Ohjelmakoodi suoritetaan LocalSystem-tunnuksen käyttöoikeuksilla.

Huomautuksia:

- SNMP-palvelu ei ole asennettuna oletuksena mihinkään tuettuun Windows-versioon.

- Haavoittuvuuden aiheuttamaa riskiä voidaan pienentää poistamalla palvelu käytöstä, mikäli sitä ei tarvita, tai rajoittamalla liikennöintiä palveluun esimerkiksi palomuurien avulla.

* Korjaus vaatii järjestelmän uudelleenkäynnistyksen asennuksen jälkeen.

* Korjauksen asennuksen voi peruuttaa.

* Korjaus voidaan tunnistaa MBSA-ohjelmiston (Microsoft Baseline Security Analyzer) versioilla 1.2.1 ja 2.0.

* Korjaus voidaan asentaa SMS-ohjelmiston (Systems Management Server) avulla.

* Korjaus voidaan asentaa Windows Update- ja Microsoft Update -sivustojen sekä Software Update Services- ja Windows Server Update Services –palvelujen avulla.

* Korjaus tulee saataville Microsoftin Downloads-sivustoon (https://www.microsoft.com/downloads, linkit yksittäisiin korjauksiin

löytyvät englanninkielisestä tiedotteesta osoitteessa https://www.microsoft.com/technet/security/Bulletin/MS06-074.mspx).

* Tarkempia tietoja asennus- ja tunnistusmahdollisuuksista korjauksen eri versioille on englanninkielisessä tiedotteessa.

Haavoittuvuus koskee seuraavia käyttöjärjestelmiä:

- Microsoft Windows 2000 (Service Pack 4)

- Microsoft Windows XP Professional (Service Pack 2)

- Microsoft Windows XP Professional x64 Edition

- Microsoft Windows Server 2003 (alkuperäinen versio ja Service Pack 1)

- Microsoft Windows Server 2003 for Itanium-based Systems (alkuperäinen versio ja Service Pack 1)

- Microsoft Windows Server 2003 x64 Edition

Haavoittuvuus EI koske seuraavia käyttöjärjestelmiä:

- Microsoft Windows Vista

Haavoittuvuuteen liittyviä lisätietoja ja linkit korjauksen eri versioihin löytyvät Microsoftin Web-sivustosta seuraavista osoitteista:

https://www.microsoft.com/technet/security/bulletin/ms06-dec.mspx

https://www.microsoft.com/technet/security/Bulletin/MS06-074.mspx

https://support.microsoft.com/kb/926247

------------------------------------------------------------------------------------------------------------------------

MS06-075 Vulnerability in Windows Could Allow Elevation of Privilege (926255)

Luokitus: Tärkeä (Important)

Tiedote MS06-075 koskee Windowsin CSRSS-palvelua (Client Server Run-Time Service). Palvelusta on löytynyt haavoittuvuus, joka liittyy palvelun tapaan käsitellään tiedostoihin liittyviä tietoja (file manifests). Haavoittuvuus joka antaa vihamieliselle hyökkääjälle mahdollisuuden korottaa käyttöoikeuksiaan järjestelmässä, johon hän on kirjautuneena sisälle (Elevation of Privilege -tyyppinen haavoittuvuus). Haavoittuvuuden hyödyntäminen edellyttää, että hyökkääjällä on kelvollinen käyttäjätunnus kohteena olevaan järjestelmään ja että hän pääsee kirjautumaan järjestelmään sisälle. Tämän jälkeen hyökkääjä voi hyödyntää haavoittuvuutta suorittamalla järjestelmässä tietyllä tavalla muotoillun sovelluksen.

* Korjaus vaatii järjestelmän uudelleenkäynnistyksen asennuksen jälkeen.

* Korjauksen asennuksen voi peruuttaa.

* Korjaus voidaan tunnistaa MBSA-ohjelmiston (Microsoft Baseline Security Analyzer) versioilla 1.2.1 ja 2.0.

* Korjaus voidaan asentaa SMS-ohjelmiston (Systems Management Server) avulla.

* Korjaus voidaan asentaa Windows Update- ja Microsoft Update -sivustojen sekä Software Update Services- ja Windows Server Update Services –palvelujen avulla.

* Korjaus tulee saataville Microsoftin Downloads-sivustoon (https://www.microsoft.com/downloads, linkit yksittäisiin korjauksiin

löytyvät englanninkielisestä tiedotteesta osoitteessa https://www.microsoft.com/technet/security/Bulletin/MS06-075.mspx).

* Tarkempia tietoja asennus- ja tunnistusmahdollisuuksista korjauksen eri versioille on englanninkielisessä tiedotteessa.

Haavoittuvuus koskee seuraavia käyttöjärjestelmiä:

- Microsoft Windows XP (Service Pack 2)

- Microsoft Windows Server 2003 (alkuperäinen versio)

- Microsoft Windows Server 2003 for Itanium-based Systems (alkuperäinen versio)

Haavoittuvuus EI koske seuraavia käyttöjärjestelmiä:

- Microsoft Windows 2000 (Service Pack 4)

- Microsoft Windows XP Professional x64 Edition

- Microsoft Windows Server 2003 (Service Pack 1)

- Microsoft Windows Server 2003 for Itanium-based Systems (Service Pack 1)

- Microsoft Windows Server 2003 x64 Edition

- Microsoft Windows Vista

Haavoittuvuuteen liittyviä lisätietoja ja linkit korjauksen eri versioihin löytyvät Microsoftin Web-sivustosta seuraavista osoitteista:

https://www.microsoft.com/technet/security/bulletin/ms06-dec.mspx

https://www.microsoft.com/technet/security/Bulletin/MS06-075.mspx

https://support.microsoft.com/kb/926255

------------------------------------------------------------

MS06-076 Cumulative Security Update for Outlook Express (923694)

Luokitus: Tärkeä (Important)

Tiedote MS06-016 koskee Windows-käyttöjärjestelmän mukana toimitettavaa

Outlook Express -sovellusta. Outlook Expressistä on löydetty haavoittuvuus,

joka liittyy Outlook Expressin tapaan käsitellä Windows Address Book

-osoitekirjatiedostoja (.wab). Vihamielinen hyökkääjä voi hyödyntää

haavoittuvuutta välittämällä käyttäjälle sähköpostin tai webin välityksellä

tietyllä tavalla muotoillun wab-tiedoston, ja sen jälkeen houkuttelemalla

käyttäjän tallentaan tiedoston ja avaamaan sen Outlook Expressin avulla.

Tätä kautta hyökkääjä voi suorittaa käyttäjän järjestelmässä haluamaansa

ohjelmakoodia (Remote Code Execution -tyyppinen haavoittuvuus). Ohjelmakoodi

suoritetaan kirjautuneen käyttäjän oikeuksilla.

Huomautuksia:

- Haavoittuvuuden aiheuttamaa riskiä voidaan pienentää poistamalla

.wab-tiedostotyypin yhteys Outlook Express -sovellukseen. Lisätietoja on

englanninkielisen tiedotteen Workarounds-osiossa.

* Korjaus ei vaadi järjestelmän uudelleenkäynnistystä asennuksen jälkeen.

* Korjauksen asennuksen voi peruuttaa.

* Korjaus voidaan tunnistaa MBSA-ohjelmiston (Microsoft Baseline Security

Analyzer) versiolla 2.0.

* Korjaus voidaan asentaa SMS-ohjelmiston (Systems Management Server)

avulla.

* Korjaus voidaan asentaa Windows Update- ja Microsoft Update -sivustojen

sekä Software Update Services- ja Windows Server Update Services -palvelujen

avulla.

* Korjaus tulee saataville Microsoftin Downloads-sivustoon

(https://www.microsoft.com/downloads, linkit yksittäisiin korjauksiin

löytyvät englanninkielisestä tiedotteesta osoitteessa

https://www.microsoft.com/technet/security/Bulletin/MS06-076.mspx).

Haavoittuvuus koskee seuraavia tuotteita:

* Outlook Express 5.5 (Service Pack 2)

- Microsoft Windows 2000 (Service Pack 4)

* Outlook Express 6:

- Microsoft Windows 2000 (Service Pack 4)

- Microsoft Windows XP (Service Pack 2)

- Microsoft Windows XP Professional x64 Edition

- Microsoft Windows Server 2003 (alkuperäinen versio ja Service Pack 1)

- Microsoft Windows Server 2003 for Itanium-based Systems (alkuperäinen versio ja Service Pack 1)

- Microsoft Windows Server 2003 x64 Edition

Haavoittuvuus EI koske seuraavia käyttöjärjestelmiä:

- Microsoft Windows Vista

Haavoittuvuuteen liittyviä lisätietoja ja linkit korjauksen eri versioihin

löytyvät Microsoftin Web-sivustosta seuraavista osoitteista:

https://www.microsoft.com/technet/security/bulletin/ms06-dec.mspx

https://www.microsoft.com/technet/security/Bulletin/MS06-076.mspx

https://support.microsoft.com/kb/923694

------------------------------------------------------------

MS06-077 Vulnerability in Remote Installation Service Could Allow Remote Code Execution (926121)

Luokitus: Tärkeä (Important)

Tiedote MS06-077 koskee Windows 2000:n RIS-palvelua (Remote Installation Service). RIS-palvelu on Windows 2000:n komponentti, jonka avulla käyttöjärjestelmä voidaan asentaa työasemiin ja/tai palvelimiin etäältä. Palvelu hyödyntää Windows 2000:n osana olevaa TFTP-palvelua (Trivial File Transfer Palvelu), ja haavoittuvuus liittyy TFTP-palvelun käyttöön anonyymisti. Vihamielinen hyökkääjä voi hyödyntää palvelua välittämällä RIS-palvelimelle TFTP-palvelun kautta jonkin tiedoston, joka sijoitetaan RIS-palvelimessa olevaan käyttöjärjestelmän asennuskansioon. Kun palvelun avulla tämän jälkeen asennetaan esimerkiksi työasemakäyttöjärjestelmä, välitetään hyökkääjän haluama tiedosto asennettavan käyttöjärjestelmän mukana. Korjaus muuttaa TFTP-palvelun tapaa sallia anonyymikäyttäjiä tallentamasta tiedostoja RIS-palvelun kansioihin.

Huomautuksia:

- Haavoittuvuus koskee ainoastaan Windows 2000 -käyttöjärjestelmällä varustettuja palvelimia, joissa on otettu käyttöön RIS-palvelu.

- Haavoittuvuuden aiheuttamaa riskiä voidaan pienentää estämällä TFTP-palvelun kirjoitusoikeus tai poistamalla palvelu käytöstä.

* Korjaus ei vaadi järjestelmän uudelleenkäynnistystä asennuksen jälkeen.

* Korjauksen asennuksen voi peruuttaa.

* Korjaus voidaan tunnistaa MBSA-ohjelmiston (Microsoft Baseline Security Analyzer) versiolla 2.0.

* Korjaus voidaan asentaa SMS-ohjelmiston (Systems Management Server) avulla.

* Korjaus voidaan asentaa Windows Update- ja Microsoft Update -sivustojen sekä Software Update Services- ja Windows Server Update Services –palvelujen avulla.

* Korjaus tulee saataville Microsoftin Downloads-sivustoon (https://www.microsoft.com/downloads, linkit yksittäisiin korjauksiin

löytyvät englanninkielisestä tiedotteesta osoitteessa https://www.microsoft.com/technet/security/Bulletin/MS06-077.mspx).

* Tarkempia tietoja asennus- ja tunnistusmahdollisuuksista korjauksen eri versioille on englanninkielisessä tiedotteessa.

Haavoittuvuus koskee seuraavia käyttöjärjestelmiä:

- Microsoft Windows 2000 (Service Pack 4)

Haavoittuvuus EI koske seuraavia käyttöjärjestelmiä:

- Microsoft Windows XP Professional (Service Pack 2)

- Microsoft Windows XP Professional x64 Edition

- Microsoft Windows Server 2003 (alkuperäinen versio ja Service Pack 1)

- Microsoft Windows Server 2003 for Itanium-based Systems (alkuperäinen versio ja Service Pack 1)

- Microsoft Windows Server 2003 x64 Edition

- Microsoft Windows Vista

Haavoittuvuuteen liittyviä lisätietoja ja linkit korjauksen eri versioihin löytyvät Microsoftin Web-sivustosta seuraavista osoitteista:

https://www.microsoft.com/technet/security/bulletin/ms06-dec.mspx

https://www.microsoft.com/technet/security/Bulletin/MS06-077.mspx

https://support.microsoft.com/kb/926121

------------------------------------------------------------

MS06-078 Vulnerability in Windows Media Format Could Allow Remote Code Execution (923689)

Luokitus: Kriittinen (Critical)

Tiedote MS06-078 koskee Windowsin Media Player -ohjelman käyttämiä ASF- ja ASX-tiedostomuotoja (Advanced Systems Format ja Advanced Stream Redirector). Ensimmäinen haavoittuvuus liittyy Media Playerin ASF-tiedostomuodon käsittelystä löydettyyn puskuriylivuotohaavoittuvuuteen, ja toinen Media Playerin tapaan käsitellä ASX-tiedostossa olevia tietyllä tvalla muotoiltuja URL-määrityksiä. Molemmat havoittuvuudet antavat vihamieliselle

hyökkääjälle mahdollisuuden suorittaa haluamaansa ohjelmakoodia kohteena olevassa järjestelmässä (Remote Code Execution -tyyppinen haavoittuvuus). Ohjelmakoodi suoritetaan järjestelmään kirjautuneen käyttäjän käyttöoikeuksilla.

Vihamielinen hyökkääjä voi hyödyntää haavoittuvuutta luomalla tietyllä tavalla muotoillun ASF- tai ASX-tiedoston ja sijoittamalla sen jollekin Web-sivulle, ja sen jälkeen houkuttelemalla käyttäjän avaamaan sivun, tai luomalla tiedoston sisältävän

HTML-muotoisen sähköpostiviestin ja lähettämällä sen käyttäjälle.

Huomautuksia:

- Haavoittuvuuden aiheuttamaa riskiä voidaan pienentää estämällä Windows Media Playerin AxticeX-komponentin käyttö Internet Explorer -selaimen välityksellä. Ohjeita tästä on englanninkielisen tiedotteen Workarounds-osiossa.

* Korjaus ei vaadi järjestelmän uudelleenkäynnistystä asennuksen jälkeen.

* Korjauksen asennus voidaan peruuttaa.

* Korjaus voidaan tunnistaa MBSA-ohjelmiston (Microsoft Baseline Security Analyzer) versioilla 1.2.1 ja 2.0.

* Korjaus voidaan asentaa SMS-ohjelmiston (Systems Management Server) avulla.

* Korjaus voidaan asentaa Windows Update- ja Microsoft Update -sivustojen sekä Software Update Services- ja Windows Server Update Services -palvelujen

avulla.

* Tarkempia tietoja asennus- ja tunnistusmahdollisuuksista korjauksen eri versioille on englanninkielisessä tiedotteessa.

Haavoittuvuus koskee seuraavia tuotteita:

- Windows Media Playerin versiot 6.4 - 9.5 seuraavissa käyttöjärjestelmissä:

- Microsoft Windows 2000 (Service Pack 4)

- Microsoft Windows XP (Service Pack 2)

- Microsoft Windows XP Professional x64 Edition

- Microsoft Windows Server 2003 (alkuperäinen versio ja Service Pack 1)

- Microsoft Windows Server 2003 x64 Edition

Haavoittuvuus EI koske seuraavia tuotteita:

- Microsoft Windows Server 2003 for Itanium-based Systems (alkuperäinen versio ja Service Pack 1)

- Microsoft Windows Vista

- Windows Media Player 11 kaikissa Windows-käyttöjärjestelmissä

Haavoittuvuuteen liittyviä lisätietoja ja linkit korjauksen eri versioihin

löytyvät Microsoftin Web-sivustosta seuraavista osoitteista:

https://www.microsoft.com/technet/security/bulletin/ms06-dec.mspx

https://www.microsoft.com/technet/security/Bulletin/MS06-078.mspx

https://support.microsoft.com/kb/923689

==================================

3. Päivitetyt tietoturvatiedotteet

==================================

Microsoft on myös julkaissut päivitetyn version tietoturvatiedotteesta MS06-059 - Vulnerabilities in Microsoft Excel Could Allow Remote Code Execution (924164). Päivitys koskee Excelin versiota 2002 ja siihen liittyvää korjausta, joka on julkaistu uudelleen korjaamaan KB-artikkelissa 924164 (https://support.microsoft.com/kb/924164) kuvattuja ongelmia. Lisätietoja on päivitetyssä tietoturvatiedotteessa osoitteessa https://www.microsoft.com/technet/security/Bulletin/MS06-059.mspx.

Microsoftin joulukuun 2006 tietoturvatiedotteet

Additional resources