Microsoftin huhtikuun päivitykset korjaavat 39 haavoittuvuutta

Microsoftin huhtikuun päivitykset sisältävät 13 päivitystä Microsoftin tuotteisiin. Päivitykset korjaavat yhteensä 39 haavoittuvuutta. Korjauspäivityksistä 6 on luokiteltu kriittisiksi.

Korjauspäivitykset MS16-037 ja MS16-038 paikkaavat kriittisiä haavoittuvuuksia Internet Explorer ja Edge -selaimissa. Haavoittuvuudet voivat mahdollistaa haitallisen ohjelmakoodin suorittamisen kohdejärjestelmässä käyttäjällä olevin oikeuksin, jos käyttäjä avaa tietyllä tavalla muotoillun www-sivun.

Korjauspäivitys MS16-039 korjaa kriittisiä haavoittuvuuksia Microsoft Windowsissa, Microsoft .NET frameworkissa, Microsoft Officessa sekä Skype for Business ja Microsoft Lync -sovelluksissa. Haavoittuvuudet voivat mahdollistaa haitallisen ohjelmakoodin suorittamisen kohdejärjestelmässä, jos käyttäjä avaa tietyllä tavalla muotoillun dokumentin tai vierailee www-sivulla johon on sisällytetty tietyllä tavalla muotoiltuja fontteja.

Korjauspäivitys MS16-040 korjaa Microsoft Windows-käyttöjärjestelmän kriittisen haavoittuvuuden, joka mahdollistaa haitallisen ohjelmakoodin suorittamisen kohdejärjestelmässä ja järjestelmän haltuun ottamisen, käyttäjän klikatessa tietyllä tavalla muotoiltua linkkiä. Haitallinen linkki voidaan tyypillisesti saada käyttäjälle esimerkiksi sähköpostin tai pikaviestisovelluksen avulla.

Korjauspäivitys MS16-042 korjaa kriittisiä haavoittuvuuksia Microsoft Office-sovelluksissa. Haavoittuvuudet voivat mahdollistaa haitallisen ohjelmakoodin suorittamisen kohdejärjestelmässä käyttäjällä olevin oikeuksin, jos käyttäjä avaa tietyllä tavalla muotoillun Microsoft Office tiedoston.

Korjauspäivitys MS16-050 paikkaa kriittisiä haavoittuvuuksia Adobe Flash Playerissä. Päivitys koskee Flash Player asennuksia kaikissa tuetuissa Windows 8.1, Windows Server 2012, Windows Server 2012 R2, Windows RT 8.1 ja Windows 10 -käyttöjärjestelmissä. Huomioi, että muissa Windows-käyttöjärjestelmissä Adobe Flash Playerin päivitys tulee tehdä Adoben ohjeiden mukaisesti. Lisätietoja Haavoittuvuustiedotteesta 049/2016.

Muut päivityspaketit on luokiteltu tärkeiksi ja ne korjaavat haavoittuvuuksia Windows-käyttöjärjestelmissä ja .NET frameworkissa.

Lisäys 13.4.2016:

Tärkeäksi määritelty Korjauspäivitys MS16-047 paikkaa Badlock-haavoittuvuudeksi nimet́yn (CVE-2016-0128) virheen SAMR (Security Account Manager Remote) ja LSAD (Local Security Authority) protokollissa. Haavoittuvuus johtaa etäproseduurikutsukanavan (RPC-channel, Remote Procedure Call) virheelliseen muodostumiseen ja voi tämän jälkeen mahdollistaa hyökkääjän pääsy järjestelmään tunnistettuna käyttäjänä tai pääsyn järjestelmän SAM- (Security Account Manager) tietokantaan. Lisätietoa haavoittuvuudesta haavoittuvuusilmoituksessa 052/2016.

  • Palvelimet ja palvelinsovellukset
  • Työasemat ja loppukäyttäjäsovellukset
  • Verkon aktiivilaitteet
  • Matkaviestinjärjestelmät
  • Sulautetut järjestelmät
  • Muut

Kohde

  • Palvelimet ja palvelinsovellukset
  • Työasemat ja loppukäyttäjäsovellukset
Lisätietoa +

Hyökkäystapa

  • Paikallisesti
  • Ilman kirjautumista
  • Etäkäyttö
  • Ilman käyttäjän toimia
Lisätietoja hyökkäystavasta +

Hyväksikäyttö

  • Komentojen mielivaltainen suorittaminen
  • Käyttövaltuuksien laajentaminen
  • Tietojen muokkaaminen
  • Luottamuksellisen tiedon hankkiminen
  • Palvelunestohyökkäys
  • Suojauksen ohittaminen
Lisätietoja hyväksikäytöstä +

Ratkaisu

  • Korjaava ohjelmistopäivitys
Lisätietoja ratkaisusta +

Haavoittuvat ohjelmistot:

  • Internet Explorer kaikissa tuetuissa Windows-versioissa
  • Microsoft Edge Windows 10 -käyttöjärjestelmässä
  • Kaikki Microsoft Windows -käyttöjärjestelmän tuetut versiot
  • Microsoft Office 2007, Office 2010, Office 2013, Office 2013 RT, Office 2016, Office for Mac 2011, Office 2016 for Mac, Microsoft Office Compatibility Pack Service Pack 3, SharePoint Server 2007, SharePoint Server 2010, SharePoint Server 2013, Office Web Apps 2010, Office Web Apps 2013
  • Skype for Business 2016, Microsoft Lync 2013, Microsoft Lync 2010, Microsoft Live Meeting 2007 Console
  • Microsoft .NET Framework 3.0 Service Pack 2, Microsoft .NET Framework 3.5, Microsoft .NET Framework 3.5.1, Microsoft .NET Framework 4.6, Microsoft .NET Framework 4.6 ja Microsoft .NET Framework 4.6.1 tuetuissa Microsoft Windows versioissa


Ratkaisu- ja rajoitusmahdollisuudet:

  • Korjaava ohjelmistopäivitys
  • Korjausten käyttöönotto vaatii uudelleenkäynnistyksen useimpien päivitysten kohdalla.

Lisätietoa:

Adobe Flash Playerin haavoittuvuudet (MS16-050):

Päivityshistoria

Asiasanat: Tietoturva , CERT , Haavoittuvuudet

LinkedIn Print

Yhteystiedot

logo

Viestintävirasto

Kyberturvallisuuskeskus

PL 313, 00181 Helsinki


Mediayhteydenotot puhelimitse 0295 390 248