Internet Explorer ja Edge-selaimien muistin korruptoitumishaavoittuvuus
Haavoittuvuus9/2021CVSS 8.8
Microsoft julkaisi maaliskuun 2021 päivityskoosteessa Edge- ja Internet Explorer -selaimiin (versiot 9 ja 11) korjaavia päivityksiä, joilla korjataan muistikorruptioon johtava haavoittuvuus. Haavoittuvuus mahdollistaa mm. järjestelmän työmuistin (RAM) lukemisen ja kirjoittamisen. Haavoittuvuuden hyväksikäyttö edellyttää, että käyttäjä on vieraillut haitallisella sivustolla.
Edge ja Internet Explorer ovat Windows-käyttöjärjestelmän oletusselaimia. Selaimissa on havaittu haavoittuvuus, joka mahdollistaa haavoittuvan järjestelmän työmuistin (RAM) lukemisen ja kirjoittamisen sekä funktioiden kutsumisen. Haavoittuvuuden hyväksikäyttö vaatii käyttäjän vierailua haitallisella verkkosivulla, jossa on erikseen tarkoitusta varten tehtyä haittakoodia. Vierailu voi siis tapahtua esimerkiksi murretulla verkkosivustolla tai pelkästään tarkoitusta varten tehdyllä sivulla, jonka linkki toimitetaan kohteelle jollain tavalla. Haavoittuvuutta on julkisten tietojen perusteella pyritty käyttämään tietoturvatutkijoiden vakoilukampanjassa, josta uutisoitiin tammi-helmikuussa 2021.
Haavoittuvuuteen on korjaava päivitys ja Kyberturvallisuuskeskus suosittelee päivityksen asentamista mahdollisimman pian. Haavoittuvien selaimien käyttöä kannattaa välttää internetselaamisessa, kunnes päivitys on asennettu. Vaihtoehtoinen ratkaisu on käyttää jotakin muuta selainta, kunnes selain on päivitetty.
Haavoittuvuuteen liittyen on julkaistu kattava kuvaus hyötykäyttötavasta, joka mahdollistaa laajamittaisen väärinkäytön yrittämisen.
Kohde
- Työasemat ja loppukäyttäjäsovellukset
Hyökkäystapa
- Etäkäyttö
Vaikutukset
- Komentojen mielivaltainen suorittaminen
- Luottamuksellisen tiedon hankkiminen
Hyväksikäyttömenetelmä tiedossa
- Rikollisessa käytössä
Ratkaisu
- Korjaava ohjelmistopäivitys
- Ongelman rajoittaminen
Haavoittuvuuden kohde
- Microsoft Edge (Windows 10:n eri versiot eri bittisyyksineen)
- Microsoft Internet Explorer 9 (Windows Server 2008 SP 2, sekä 32-bit että x64)
- Microsoft Internet Explorer 11 (Windows 7 SP1, 8, 8.1, 10 eri versiot eri bittisyyksineen; Windows Server 2012, 2012 R2, 2016, 2019)
- Katso tarkka listaus Microsoftin tiedotteesta, linkki alla
Mistä on kysymys?
- Korjaavan päivityksen asentaminen
- Haavoittuvan selainversion käytön välttäminen internetselaamiseen
- Vaihtoehtoisen selaimen käyttäminen