Haavoittuvuus GNU C-kirjastossa - ylläpitäjiä kehotetaan seuraamaan tilannetta

GNU C-kirjastosta löydetty haavoittuvuus edellyttää ylläpitäjiltä aktiivisia toimia. Haavoittuvat järjestelmät tulisi päivittää korjattuun versioon mahdollisimman nopeasti. Lisäksi ylläpitäjiä kehotetaan seuraamaan tilannetta mahdollisten uusien haavoittuvien ohjelmistojen varalta.

Tietoturvayhtiö Qualys julkaisi 27.1.2015 tiedot löytämästään GNU C-kirjaston puskurin ylivuotohaavoittuvuudesta. Haavoittuvuus on saanut tunnisteen CVE-2015-0235. Haavoittuvuuden hyväksikäyttö on mahdollista hyödyntämällä kirjastossa käytettävää gethostbyname() -funktiota. Haavoittuvuuden hyväksikäyttö voi mahdollistaa hyökkäjään ohjelmakoodin suorittamisen kohdejärjestelmässä. Kyberturvallisuuskeskuksen tietojen mukaan haavoittuvuudelle ei ole tällä hetkellä olemassa julkista hyväksikäyttömenetelmää.

Haavoittuvuuden hyväksikäyttö mahdollista ainakin Procmail sekä Exim sähköpostipalvelinsovellusten kautta

Qualyksen mukaan haavoittuvuuden hyödyntäminen onnistuu ainakin Procmail sekä Exim sähköpostipalvelinsovellusten kautta. Kyberturvallisuuskeskus suosittelee päivittämään haavoittuvuudelle alttiit ohjelmistoversiot mahdollisimman nopeasti valmistajan ohjeiden mukaisesti.

Haavoittuden hyväksikäytölle alttiita ohjelmistoja voi löytyä lähitulevaisuudessa lisää

Johtuen GNU C-kirjaston yleisyydestä, on todennäköistä että haavoittuden hyväksikäytölle alttiita ohjelmistoja voi löytyä lähitulevaisuudessa lisää. Kyberturvallisuuskeskus seuraa haavoittuvuudesta julkaistuja tietoja ja tiedottaa niistä tilanteen niin vaatiessa. Mahdolliset uudet löydetyt haavoittuvat ohjelmistot tullaan päivittämään Kyberturvallisuuskeskuksen julkaisemaan "Haavoittuvuus GNU C-kirjastossa" -haavoittuvuustiedotteeseen (Haavoittuvuus 006/2015).

Lisätietoja:

Päivityshistoria

Asiasanat: Tietoturva , Tietoturva nyt!

LinkedIn Print

Yhteystiedot

logo

Viestintävirasto

Kyberturvallisuuskeskus

PL 313, 00561 Helsinki


Mediayhteydenotot puhelimitse 0295 390 248