Päivitys pikakuvakehaavoittuvuuteen julkaistu normaalin aikataulun ulkopuolella

Kuten jo perjantaisessa ennakkotiedotteessa kävi ilmi, Microsoft on eilen 2.8.2010 n. Klo 20.00 julkaissut normaalin kuukausittaisen julkaisuaikataulun ulkopuolella yhden (1) uuden tietoturvatiedotteen MS10-046, josta kooste alla. Tietoturvatiedote koskee reilut pari viikkoa sitten julkisuuteen tullutta Windowsin Shellissä havaittua pikakuvakkeiden käsittelyä koskevaa haavoittuvuutta, josta Microsoft on aiemmin tiedottanut Security Advisoryssä 2286198 (https://www.microsoft.com/technet/security/advisory/2286198.mspx ). Tiedote on luokitukseltaan kriittinen ja siinä kuvattu päivitys korjaa haavoittuvuuden eri Windowsin tällä hetkellä tuetuissa versioissa. Englanninkielinen yhteenveto ja varsinainen tietoturvatiedote löytyvät osoitteesta https://www.microsoft.com/technet/security/bulletin/ms10-046.mspx.

Kuten normaalin julkaisuaikataulunkin yhteydessä, järjestämme myös tätä tietoturvatiedotetta koskevan webcastin. Webcast järjestetään tänään tiistaina 3.8.2010 klo 10.00 alkaen. Lisätietoja webcastiin liittymisestä on osoitteessa https://blogs.technet.com/b/tietoturvan_weblogi/archive/2010/08/02/webcast-ylim-228-228-r-228-isest-228-tietoturvatiedotteesta.aspx. Tietoturvaan liittyviä asioita käsitellään myös Microsoftin tietoturvablogissa osoitteessa https://blogs.technet.com/tietoturvan_weblogi/.

Tästä tiedotteesta, kuten muistakin tiedotteista, on tiedotettu normaalikäytännön mukaisesti, eli laitoin tiedotteesta juuri äsken myös sähköpostin kaikille tiedotejakelulistalla oleville. Jos haluat mukaan sähköpostijakeluun, laita minulle viesti osoitteeseen kimmo.bergius@microsoft.com, ja liitä viestiin mukaan oma sähköpostiosoitteesi ja organisaatiosi nimi, niin liitän sinut jakelulistalle.

===============================
Kooste uusista tietoturvatiedotteista
===============================
MS10-046 Vulnerability in Windows Shell Could Allow Remote Code Execution (2286198)
Luokitus: Kriittinen (Critical)
Vaikutus: Remote Code Execution

Tiedote MS10-046 koskee Windowsin Shelliä eli käyttöliittymää. Käyttöliittymästä on löydetty haavoittuvuus, joka koskee käyttöliittymän tapaa käsitellä .LNK-tiedostoihin liitettyjä kuvakkeita. Haavoittuvuus saattaa antaa vihamieliselle hyökkääjälle mahdollisuuden suorittaa haluamaansa ohjelmakoodia kohteena olevassa järjestelmässä (Remote Code Execution -tyyppinen haavoittuvuus). Ohjelmakoodi suoritetaan järjestelmään kirjautuneen käyttäjän käyttöoikeuksilla. Lisätietoja haavoittuvuudesta on englanninkielisessä tiedotteessa osoitteessa https://www.microsoft.com/technet/security/Bulletin/MS10-046.mspx.

Huomautuksia:
- Haavoittuvuuden aiheuttamaa riskiä voidaan pienentää poistamalla kuvakkeiden käsittely käytöstä sekä rajoittamalla .LNK- ja .PIF-tiedostojen latausmahdollisuuksia webin tai sähköpostin välityksellä. Lisätietoja on englanninkielisen tiedotteen Workarounds-osiossa.
- Haavoittuvuus on ollut jo julkisesti tiedossa, ja Microsoft on julkaissut haavoittuvuudesta Security Advisoryn 2286198 (https://www.microsoft.com/technet/security/advisory/2286198.mspx).

* Korjaus vaatii järjestelmän uudelleenkäynnistyksen asennuksen jälkeen.
* Korjauksen asennuksen voi peruuttaa.
* Korjaus voidaan tunnistaa MBSA-ohjelmiston (Microsoft Baseline Security Analyzer) versiolla 2.1.
* Korjaus voidaan asentaa SMS-ohjelmiston (Systems Management Server) avulla.
* Korjaus voidaan asentaa Windows Update- ja Microsoft Update -sivustojen sekä Windows Server Update Services -palvelun avulla.
* Korjaus tulee saataville Microsoftin Downloads-sivustoon (https://www.microsoft.com/downloads, linkit yksittäisiin korjauksiin löytyvät englanninkielisestä tiedotteesta osoitteessa https://www.microsoft.com/technet/security/Bulletin/MS10-046.mspx). 

Haavoittuvuus koskee seuraavia käyttöjärjestelmiä:
- Microsoft Windows XP (Service Pack 3)
- Microsoft Windows XP Professional x64 Edition (Service Pack 2)
- Microsoft Windows Server 2003 (Service Pack 2)
- Microsoft Windows Server 2003 for Itanium-based Systems (Service Pack 2)
- Microsoft Windows Server 2003 x64 Edition (Service Pack 2)
- Microsoft Windows Vista (Service Pack 1 ja Service Pack 2)
- Microsoft Windows Vista x64 Edition (Service Pack 1 ja Service Pack 2)
- Microsoft Windows Server 2008 - kaikki versiot (alkuperäinen versio ja Service Pack 2)
- Microsoft Windows 7 – kaikki versiot
- Microsoft Windows Server 2008 R2 - kaikki versiot

Haavoittuvuuteen liittyviä lisätietoja ja linkit korjauksen eri versioihin löytyvät Microsoftin Web-sivustosta seuraavista osoitteista:
https://www.microsoft.com/technet/security/Bulletin/MS10-046.mspx
https://support.microsoft.com/kb/2286198