Microsoftin tietoturvatiedotteiden yhteenveto, heinäkuu 2006

Julkaistu: 11. heinäkuu 2006 | Päivitetty: 11. heinäkuu 2006

Versio: 1.1

Tämän tiedotteen käyttäjille tarkoitetut tiedot ovat seuraavassa Web-sivustossa.

Suojaa tietokoneesi Seuraavissa sivustoissa on Microsoftin julkaisemia tietokoneen suojaamista käsitteleviä tietoja:

•	Kotikäyttäjille: Suojaa tietokoneesi.
•	IT-alan ammattilaisille: Security Guidance Center -web-sivusto.

Korjaustiedostojen hallintastrategiat:Patch Management, Security Updates ja Downloads -Web-sivustossa on lisätietoja Microsoftin suosittelemista korjaustiedostojen käsittelemiseen liittyvistä toimista

IT Pro Security Zone -yhteisö: Opi uusia tietoturvatekniikoita IT-infrastruktuurisi turvallisuuden parantamiseksi ja keskustele tietoturvaan liittyvistä aiheista muiden IT-alan ammattilaisten kanssa IT Pro Security Zone -Web-sivustossa.

Microsoft Security Notification Service -palvelu: Saat automaattisen ilmoituksen sähköpostitse aina Microsoftin julkaistessa uuden tietoturvatiedotteen, kun tilaat Microsoft Security Notification Service -palvelun.

Yhteenveto

Tässä tiedotteessa on tietoja hiljattain havaittuja haavoittuvuuksia korjaavista päivityksistä. Näiden haavoittuvuuksien vakavuusasteet:

Kriittinen (5)

Tiedotteen numero	Microsoftin tietoturvatiedote MS06-035
Tiedotteen otsikko	Palvelinpalvelun haavoittuvuus saattaa sallia koodin suorittamisen etäyhteyden välityksellä (917159)
Yhteenveto	Tämä päivitys korjaa kaksi palvelinpalvelun haavoittuvuutta, joista vakavampi saattaa sallia koodin suorittamisen etäyhteyden välityksellä.
Päivityksen tärkeys	Kriittinen
Haavoittuvuuden vaikutus	Koodin suorittaminen etäyhteyden välityksellä
Ohjelmistot, joita haavoittuvuus koskee	Windows. Lisätietoja on tämän tietoturvatiedotteen kohdassa Ohjelmistot, joita haavoittuvuus koskee, ja lataussivustot

Tiedotteen numero	Microsoftin tietoturvatiedote MS06-036
Tiedotteen otsikko	DHCP Client Service -palvelun haavoittuvuus saattaa sallia koodin suorittamisen etäyhteyden välityksellä (914388)
Yhteenveto	Tämä päivitys korjaa DHCP Client Service -palvelun haavoittuvuuden, joka saattaa sallia koodin suorittamisen etäyhteyden välityksellä.
Päivityksen tärkeys	Kriittinen
Haavoittuvuuden vaikutus	Koodin suorittaminen etäyhteyden välityksellä
Ohjelmistot, joita haavoittuvuus koskee	Windows. Lisätietoja on tämän tietoturvatiedotteen kohdassa Ohjelmistot, joita haavoittuvuus koskee, ja lataussivustot

Tiedotteen numero	Microsoftin tietoturvatiedote MS06-037
Tiedotteen otsikko	Microsoft Excelin haavoittuvuudet saattavat sallia koodin suorittamisen etäyhteyden välityksellä (917285)
Yhteenveto	Tämä päivitys korjaa useita Excelin haavoittuvuuksia, joista vakavin saattaa sallia koodin suorittamisen etäyhteyden välityksellä.
Päivityksen tärkeys	Kriittinen
Haavoittuvuuden vaikutus	Koodin suorittaminen etäyhteyden välityksellä
Ohjelmistot, joita haavoittuvuus koskee	Office, Excel. Lisätietoja on tämän tietoturvatiedotteen kohdassa Ohjelmistot, joita haavoittuvuus koskee, ja lataussivustot

Tiedotteen numero	Microsoftin tietoturvatiedote MS06-038
Tiedotteen otsikko	Microsoft Officen haavoittuvuus saattaa sallia koodin suorittamisen etäyhteyden välityksellä (917284)
Yhteenveto	Tämä päivitys korjaa kaksi Officen haavoittuvuutta, joista vakavampi saattaa sallia koodin suorittamisen etäyhteyden välityksellä.
Päivityksen tärkeys	Kriittinen
Haavoittuvuuden vaikutus	Koodin suorittaminen etäyhteyden välityksellä
Ohjelmistot, joita haavoittuvuus koskee	Office, Project, Visio, Works, Visual Studio. Lisätietoja on tämän tietoturvatiedotteen kohdassa Ohjelmistot, joita haavoittuvuus koskee, ja lataussivustot

Tiedotteen numero	Microsoftin tietoturvatiedote MS06-039
Tiedotteen otsikko	Microsoft Officen suodattimien haavoittuvuudet saattavat sallia koodin suorittamisen etäyhteyden välityksellä (915384)
Yhteenveto	Tämä päivitys korjaa kaksi Officen haavoittuvuutta, joista vakavampi saattaa sallia koodin suorittamisen etäyhteyden välityksellä.
Päivityksen tärkeys	Kriittinen
Haavoittuvuuden vaikutus	Koodin suorittaminen etäyhteyden välityksellä
Ohjelmistot, joita haavoittuvuus koskee	Office, Project, Works. Lisätietoja on tämän tietoturvatiedotteen kohdassa Ohjelmistot, joita haavoittuvuus koskee, ja lataussivustot

Top of section

Tärkeä (2)

Tiedotteen numero	Microsoftin tietoturvatiedote MS06-033
Tiedotteen otsikko	ASP.NETin haavoittuvuus saattaa sallia tietojen paljastumisen (917283)
Yhteenveto	Tätä haavoittuvuutta hyödyntämällä hyökkääjä saattaa pystyä ohittamaan ASP.Netin suojauksen ja saada luvattomasti käyttöönsä Application-kansion kohteita nimen mukaan. Huomaa, että tämä haavoittuvuus ei anna hyökkääjien suorittaa koodia tai suoraan nostaa käyttöoikeuksiensa tasoa, mutta sen avulla voidaan hankkia tietoja, joilla voidaan edelleen yrittää haavoittaa haavoittuvuuden sisältävää järjestelmää.
Päivityksen tärkeys	Tärkeä
Haavoittuvuuden vaikutus	Tietojen paljastuminen muille käyttäjille
Ohjelmistot, joita haavoittuvuus koskee	Windows, .NET Framework. Lisätietoja on tämän tietoturvatiedotteen kohdassa Ohjelmistot, joita haavoittuvuus koskee, ja lataussivustot

Tiedotteen numero	Microsoftin tietoturvatiedote MS06-034
Tiedotteen otsikko	Haavoittuvuus Microsoftin Active Server Pages -sivuja käyttävissä IIS-palveluissa saattaa sallia koodin suorittamisen etäyhteyden välityksellä (917537)
Yhteenveto	Tätä haavoittuvuutta hyödyntämällä hyökkääjä saattaa saada haavoittuvuuden sisältävän järjestelmän täysin hallintaansa. Huomaa, että hyökkääjällä on oltava kelvolliset kirjautumistunnukset. Jos palvelin on kuitenkin määritetty siten, että nimettömillä tai luvallisilla käyttäjillä on oikeus ladata Web-sivustoihin Web-sisältöä, kuten .ASP-sivuja, palvelinta voidaan hyödyntää tämän haavoittuvuuden avulla.
Päivityksen tärkeys	Tärkeä
Haavoittuvuuden vaikutus	Koodin suorittaminen etäyhteyden välityksellä
Ohjelmistot, joita haavoittuvuus koskee	Windows, IIS. Lisätietoja on tämän tietoturvatiedotteen kohdassa Ohjelmistot, joita haavoittuvuus koskee, ja lataussivustot

Top of section

Ohjelmistot, joita haavoittuvuus koskee, ja lataussivustot

Kuinka taulukkoa käytetään?

Tämän taulukon avulla voit selvittää, mitä tietoturvapäivityksiä järjestelmääsi on ehkä asennettava. Katso, sisältääkö taulukko käyttämäsi ohjelman tai osan ja edellyttääkö se tietoturvapäivityksen asentamista. Kunkin mainitun ohjelman tai osan yhteydessä näkyy haavoittuvuuden vaikutus ja linkki saatavana oleviin ohjelmistopäivityksiin.

Taulukon merkintä [x] ilmaisee, että aiheeseen liittyy lisätietoja. Lisätiedot ovat taulukon alapuolella.

Ohjelmistot, joita haavoittuvuus koskee, ja lataussivustot MS06-033–MS06-036

	Tiedot	Tiedot	Tiedot	Tiedot
Tiedotteen numero	MS06-033	MS06-034	MS06-035	MS06-036
Päivityksen tärkeys	Tärkeä	Tärkeä	Kriittinen	Kriittinen
Windows-käyttöjärjestelmät, joita haavoittuvuus koskee:
Windows Server 2003 Service Pack 1	[1]	Keskitaso	Kriittinen	Kriittinen
Windows Server 2003	[1]	Keskitaso	Kriittinen	Kriittinen
Itanium-järjestelmien Windows Server 2003 ja SP1	[1]	Keskitaso	Kriittinen	Kriittinen
Itanium-järjestelmien Windows Server 2003	[1]	Keskitaso	Kriittinen	Kriittinen
Server 2003 x64 Edition	[1]	Keskitaso	Kriittinen	Kriittinen
Windows XP Professional Service Pack 2	[1]	Tärkeä	Kriittinen	Kriittinen
Windows XP Professional Service Pack 1	[1]	Tärkeä	Kriittinen	Kriittinen
Windows XP Professional x64 Edition	[1]	Tärkeä	Kriittinen	Kriittinen
Windows XP Home Service Pack 2	[1]		Kriittinen	Kriittinen
Windows XP Home Service Pack 1	[1]		Kriittinen	Kriittinen
Windows 2000 Service Pack 4	[1]	Tärkeä	Kriittinen	Kriittinen
.NET Framework -ohjelmistot, joita haavoittuvuus koskee:
.NET Framework 2.0	Tärkeä

Top of section

Ohjelmistot, joita haavoittuvuus koskee, ja lataussivustot MS06-037–MS06-039

	Tiedot	Tiedot	Tiedot
Tiedotteen numero	MS06-037	MS06-038	MS06-039
Päivityksen tärkeys	Kriittinen	Kriittinen	Kriittinen
Office-ohjelmistot, joita haavoittuvuus koskee:
Office 2003 Service Pack 2		Tärkeä	Tärkeä
Office 2003 Service Pack 1		Tärkeä	Tärkeä
Office XP Service Pack 3		Tärkeä	Tärkeä
Office 2000 Service Pack 3		Kriittinen	Kriittinen
Office X for Mac		Tärkeä
Office 2004 for Mac		Tärkeä
Excel 2003	Tärkeä
Excel Viewer 2003	Tärkeä
Excel 2002	Tärkeä
Excel 2000	Kriittinen
Excel X for Mac	Tärkeä
Excel 2004 for Mac	Tärkeä
Project 2002		Tärkeä	Tärkeä
Project 2000		Kriittinen	Kriittinen
Visio 2002		Tärkeä
Works-ohjelmistot, joita haavoittuvuus koskee:
Works Suite 2006		Tärkeä	Tärkeä
Works Suite 2005		Tärkeä	Tärkeä
Works Suite 2004		Tärkeä	Tärkeä

Top of section

Huomautus

[1] Tähän käyttöjärjestelmään on saatavana tietoturvapäivitys. Tarkista taulukosta, mikä tietoturvatiedote käsittelee haavoittuvuuden sisältävää komponenttia.

Top of section

Käyttöönotto

Software Update Services:

Microsoft Software Update Services (SUS) -palvelun avulla järjestelmänvalvojat voivat ottaa käyttöön uusimmat kriittiset päivitykset ja tietoturvapäivitykset nopeasti ja luotettavasti Windows 2000- ja Windows Server 2003 -pohjaisissa palvelimissa sekä työasemissa, joissa on Windows 2000 Professional- tai Windows XP Professional -käyttöjärjestelmä.

Lisätietoja tämän tietoturvapäivityksen ottamisesta käyttöön Software Update Services -palvelun avulla on Software Update Services -Web-sivustossa.

Windows Server Update Services:

Käyttämällä WSUS (Windows Server Update Services) -palvelua järjestelmänvalvojat voivat ottaa nopeasti ja luotettavasti käyttöön uusimmat kriittiset päivitykset ja tietoturvapäivitykset seuraavissa järjestelmissä: Windows 2000 ja sitä uudemmat, Office XP ja sitä uudemmat, Exchange Server 2003, SQL Server 2000 (Windows 2000 ja sitä uudemmat käyttöjärjestelmät).

Lisätietoja tämän tietoturvapäivityksen käyttöönottamisesta WSUS-palvelun avulla on Windows Server Update Services -Web-sivustossa

Huomautus: WSUSscan.cab-tiedoston saatavuudessa oli ongelmia 11.7.2006. Jos latasit tiedoston ennen klo 18.30 Tyynenmeren kesäaikaa, lataa se uudelleen. Muutoin järjestelmä ei havaitse ja ota käyttöön tämän tietoturvatiedoteyhteenvedon päivityksiä. Lisätietoja muun muassa WSUS-tiedostosta on Knowledge Base -artikkelissa 894199

Systems Management Server:

Microsoft Systems Management Server (SMS) tarjoaa monipuolisesti määritettävän yritysratkaisun päivitysten hallintaan. SMS:n avulla järjestelmänvalvojat voivat tunnistaa tietoturvapäivityksiä tarvitsevat Windows-järjestelmät ja suorittaa hallitun päivitysten asennuksen koko yrityksessä niin, että käyttäjien työt keskeytyvät mahdollisimman vähän. Lisätietoja siitä,miten järjestelmänvalvojat voivat käyttää SMS 2003:a tietoturvapäivitysten asentamiseen, on SMS 2003 Security Patch Management -Web-sivustossa. SMS 2.0:n käyttäjät voivat asentaa tietoturvapäivityksiä myös Software Updates Service Feature Packin avulla. Lisätietoja SMS-palvelimesta on SMS-Web-sivustossa.

Huomautus SMS hyödyntää Microsoft Baseline Security Analyzer -työkalua ja Microsoft Office -työkalua laajan tietoturvapäivityksien tunnistamiseen ja asennukseen liittyvän tuen tarjoamiseksi. Nämä työkalut eivät ehkä tunnista joitakin päivityksiä. Järjestelmänvalvojat voivat käyttää SMS:n analysointiominaisuuksia päivitysten kohdentamiseen tiettyihin järjestelmiin. Lisätietoja tästä proseduurista on seuraavassa Web-sivustossa. Jotkin tietoturvapäivitykset saattavat edellyttää järjestelmänvalvojan oikeuksia, kun järjestelmä on käynnistetty uudelleen. Järjestelmänvalvojat voivat käyttää Elevated Rights Deployment Tool -työkalua (sisältyy SMS 2003 Administration Feature Packiin ja SMS 2.0 Administration Feature Packiin) päivitysten asentamisessa.

QChain.exe ja Update.exe:

Microsoft on julkistanut komentorivityökalun nimeltä QChain.exe, jonka avulla järjestelmänvalvojat voivat ketjuttaa eli asentaa turvallisesti useita tietoturvapäivityksiä. Ketjutusta käytettäessä tietokonetta ei tarvitse käynnistää uudelleen asennusten välissä. Tässä tiedotteessa mainituissa päivityksissä käytettävässä Update.exe-tiedostossa on sisäinen ketjutusominaisuus. Käyttäjät, jotka käyttävät Windows 2000 Service Pack 2:ta tai uudempaa, Windows XP:tä tai Windows Server 2003:a, eivät tarvitse Qchain.exe-tiedostoa näiden päivitysten ketjuttamiseen. Qchain.exe kuitenkin tukee näiden Windows Update -päivitysten ketjuttamista, joten järjestelmänvalvojat voivat luoda yhdenmukaisia käyttöönottokomentosarjoja eri ympäristöjä varten. Lisätietoja Qchain-ohjelmasta on seuraavassa Web-sivustossa.

Microsoft Baseline Security Analyzer:

MBSA (Microsoft Baseline Security Analyzer) -työkalulla järjestelmänvalvojat voivat tarkistaa sekä paikallisista järjestelmistä että etäjärjestelmistä, puuttuuko niistä tietoturvapäivityksiä ja onko niissä muita yleisiä tietoturvapuutteita. Lisätietoja MBSA-työkalusta on Microsoft Baseline Security Analyzer -Web-sivustossa.

Tunnistus- ja käyttöönotto-ohjeet:

Microsoft on laatinut tunnistus- ja käyttöönotto-ohjeet tässä kuussa julkaistuille tietoturvapäivityksille. Näiden ohjeiden avulla myös IT-alan ammattilaiset osaavat käyttää erilaisia työkaluja tietoturvapäivitysten käyttöönottamiseen. Näitä työkaluja ovat esimerkiksi Windows Update, Microsoft Update, Office Update, MBSA (Microsoft Baseline Security Analyzer), Office-tunnistustyökalu, MSM (Microsoft Systems Management) -palvelin, laajennettu Inventory-työkalu ja Enterprise Update Scan (EST) -työkalu. Lisätietoja on Microsoft Knowledge Base -artikkelissa 910723.

Top of section

Muita tietoja:

Kiitokset

Microsoft kiittää yhteistyöstä seuraavia tahoja, joiden ansiosta asiakkaiden turvallisuutta on parannettu:

•	Pedram Amini (TippingPoint Security Research Team) ja H D Moore ilmoittivat haavoittuvuudesta, joka on kuvattu tietoturvatiedotteessa MS06-035.
•	Shaun Colley (NGSS Consulting) ilmoitti haavoittuvuudesta, joka on kuvattu tietoturvatiedotteessa MS06-037.
•	Mariano Nuñez Di Croce (Cybsec Security Systems) ilmoitti haavoittuvuudesta, joka on kuvattu tietoturvatiedotteessa MS06-036.
•	Arnaud Dovi ilmoitti haavoittuvuudesta, joka on kuvattu tietoturvatiedotteessa MS06-037.
•	Arnaud Dovi (Zero Day Initiative (ZDI)) ja TippingPoint ilmoittivat haavoittuvuudesta, joka on kuvattu tietoturvatiedotteessa MS06-037.
•	Urs Eichmann (PRISMA Informatik) ilmoitti haavoittuvuudesta, joka on kuvattu tietoturvatiedotteessa MS06-033.
•	Elia Florio (Symantec) ilmoitti haavoittuvuudesta, joka on kuvattu tietoturvatiedotteessa MS06-038.
•	Fortinet ilmoitti haavoittuvuudesta, joka on kuvattu tietoturvatiedotteessa MS06-039.
•	Costin Ionescu (Symantec) ilmoitti haavoittuvuudesta, joka on kuvattu tietoturvatiedotteessa MS06-037.
•	Brett Moore (Security-Assessment.com) ilmoitti haavoittuvuudesta, joka on kuvattu tietoturvatiedotteessa MS06-034.
•	NSFocus Security Team ilmoitti haavoittuvuuksista, jotka on kuvattu tietoturvatiedotteissa MS06-037 ja MS06-039.
•	Xin Ouyang (Nevis Networks) ilmoitti haavoittuvuudesta, joka on kuvattu tietoturvatiedotteessa MS06-037.
•	Posidron ilmoitti haavoittuvuudesta, joka on kuvattu tietoturvatiedotteessa MS06-037.
•	Nicolas Pouvesle (Tenable Network Security) ilmoitti haavoittuvuudesta, joka on kuvattu tietoturvatiedotteessa MS06-035.
•	Mike Price ja Rafal Wojtczuk (McAfee Avert Labs) ilmoittivat haavoittuvuudesta, joka on kuvattu tietoturvatiedotteessa MS06-035.
•	Sowhat (Nevis Labs) ilmoitti haavoittuvuudesta, joka on kuvattu tietoturvatiedotteessa MS06-037.

Muiden tietoturvapäivitysten hankkiminen:

Muita tietoturvapäivityksiä on saatavilla seuraavista sivustoista:

•	Tietoturvapäivityksiä voi ladata Microsoft Download Centeristä. Päivitysten etsiminen on helpointa hakusanahaun ja hakusanan security_patch avulla.
•	Kuluttajille suunnattujen ympäristöjen päivityksiä voi ladata Microsoft Update -sivustosta.
•	Voit hankkia tämän kuun Windows Update -tietoturvapäivitykset Security and Critical Releases ISO Image -vedostiedostona. Lisätietoja on Microsoft Knowledge Base -artikkelissa 913086.

Tuki:

•	Tuotetukea Yhdysvalloissa ja Kanadassa tarjoaa Microsoftin tuotetukipalvelut, jonka puhelinnumero on 1-866-PCSAFETY. Tietoturvapäivityksiin liittyvät tukipuhelut ovat maksuttomia.
•	Muissa maissa asiakkaat saavat tukea paikallisista Microsoftin tytäryhtiöistä. Tietoturvapäivityksiin liittyvä tuki on maksutonta. Lisätietoja yhteyden ottamisesta Microsoft-tukeen on International Support -Web-sivustossa.

Tietoturvaresurssit:

•	Microsoft TechNet Security -Web-sivustossa on lisätietoja Microsoft-tuotteiden tietoturvasta.
•	Microsoft Software Update Services
•	Microsoft Windows Server Update Services
•	Microsoft Baseline Security Analyzer (MBSA)
•	Windows Update
•	Microsoft Update
•	Windows Update Catalog: Lisätietoja Windows Update Catalogista on Microsoft Knowledge Base -artikkelissa 323166.
•	Office Update

Vastuuvapauslauseke:

Microsoft Knowledge Base -tietokannan sisältämät tiedot toimitetaan "sellaisenaan" ilman minkäänlaista takuuta. Microsoft kiistää kaikki nimenomaiset ilmaistut tai epäsuorat takuut, mukaan lukien takuut tuotteen soveltuvuudesta kaupankäynnin kohteeksi ja sopivuudesta tiettyyn tarkoitukseen. Microsoft Corporation tai sen toimittajat eivät missään tapauksessa ole vastuussa vahingoista mukaan lukien suorat, satunnaiset, epäsuorat ja välilliset vahingot, liikevoiton menetys sekä erityiset vahingot, vaikka Microsoft Corporationille tai sen toimittajille olisi ilmoitettu vahinkojen mahdollisuudesta. Koska jotkin valtiot eivät salli välillisten tai satunnaisten vahinkojen vahingonkorvausvastuun poissulkemista tai rajoittamista, edellä mainittu rajoitus ei koske kaikkia asiakkaita.

Versiot:

•	V1.0 (11. heinäkuuta 2006): Tiedote julkaistu.
•	V1.1 (11. heinäkuuta 2006): Käyttöönotto-osa päivitetty WSUSscan.cab-tiedoston saatavuusongelman vuoksi.

Top of section

Sivun alkuun