Windows-käyttöjärjestelmä sekä Office-ohjelmiston Excel ja Word saivat korjauksia marraskuun kuusi päivitystä kattavassa paketissa. Päivitykset poistavat yhteensä 15 haavoittuvuutta.

Microsoft luokittelee kiireellisimmäksi asennettavaksi tietoturvapäivityksen MS09-065, joka hoitaa pois päiväjärjestyksestä kolme Windowsin ytimen reikää. Niistä yksi sai ainoana 15 aukosta sekä kriittisen vakavuusluokituksen että kriittisen hyödynnettävyysluokituksen Microsoftin kaksijakoisessa Severity and Exploitability Index -kaaviossa.

Yhtiön blogi selvittää, että kriittinen ytimen haavoittuvuus on julkisesti paljastettu. Sen avulla voidaan luoda vaarallisia verkkosivuja, jotka voisivat mahdollisesti saastuttaa vierailevia tietokoneita ilman, että käyttäjä edes klikkaisi sivuilla mitään.

Haavoittuvuus koskee vain Windows 2000 SP4 -, Windows XP SP2 - ja SP3 - sekä Windows Server 2003 SP2 -käyttöjärjestelmiä. Windows Vista ja Windows Server 2008 ovat aukolta turvassa.

Rpc-kutsulla
sisään

Kuudesta päivityksestä kaksi muutakin on kriittisiä ja koskevat Windowsia. MS09-063 liittyy wsd-rajapintaan (web services on devices), jota käytetään laiteyhteyksien muodostamiseen. Muotoiltujen sanomaotsakkeiden avulla voi aiheuttaa muistin korruptoitumisen, joka voi johtaa hyökkääjän koodin suorittamiseen järjestelmässä, Viestintäviraston tietoturvayksikkö Cert-fi kertoo.

Vain Windows Vista ja Windows 2008 -järjestelmät ovat haavoittuvia. Hyväksikäyttö verkosta käsin on mahdollista ainoastaan samasta aliverkosta.

Kriittinen päivitys MS09-064 korjaa Windows 2000 SP4 -järjestelmien license logging server -palvelun aukon, johon voidaan iskeä rpc-kutsulla (remote procedure call). Syntyvä ylivuoto palvelussa voi mahdollistaa hyökkääjälle koodin suorittamisen.

Tärkeät
päivitykset

Loput kolme päivitystä Microsoft on luokitellut tärkeiksi. Windowsin MS09-066-päivitys korjaa palvelunestohyökkäyksen mahdollistavan haavoittuvuuden active directory server -palvelusta.

MS09-067 sisältää kahdeksan korjausta Excel-sovelluksen binääritiedostojen käsittelyyn. Cert-fi:n mukaan hyökkääjän voi olla mahdollista ajaa koodiaan käyttäjän oikeuksin, kunhan käyttäjä on houkuteltu avaamaan ansatiedosto.

MS09-068 käsittää yhden korjauksen Word-sovelluksen binääritiedostojen käsittelyyn. Uhkan tyyppi on käytännössä sama kuin Excel-aukkojen kohdalla.

Microsoftin uusin käyttöjärjestelmä Windows 7 ei saanut ainuttakaan tietoturvakorjausta.