Újabb tőrdöfés a Vistának

2008. november 21. 12:13 - Csizmazia Darab István [Rambo]

Osztrák biztonsági kutatók olyan sebezhetőséget találtak a Microsoft Windows Vistában, amely a támadóknak lehetővé teszi tetszőleges kód lefuttatását.

A problémák a belső eszközmeghajtók kezelésénél vannak, és a Phion kutatói két különféle módszert is bemutattak a sérülékenység puffertúlcsordulásos kihasználására, amely képest volt az operációs rendszer kernelét megzavarni. Igaz, ehhez az egyiknél admin jogokra is szükség volt, de a szakértők szerint ez nem igazi akadály, hiszen a támadók rendszerint képesek ezt megszerezni.

De lehetséget root jogok nélkül is végrehajtani a támadást, amelynél tetszőleges kártékony kódot - például rootkitet - csepészhetnek be Tomas Unterleitner, végpont biztonságért felelős igazgató szerint. Cégük október 22-én értesítette a Microsoftot az észlelt problémáról, amire azt a választ kapták, hogy majd a Vista Service Pack 2-be fogják beépíteni a javítást. Ez magyarul azt jelentené, hogy annyira lebecsülik a veszélyt, hogy 2009 nyaráig - az SP2 megjelenéséig - nyitva maradna ez a sérülékenység a korábban "minden idők legbiztonságosabb operációs rendszerének" kikiáltott platformban. A kutatók szerint máris nagy az érdeklődés az új sebezhetőség  technikai részletei iránt, hogyan is lehet pontosan kihasználni a nemrég felfedezett rést. A Microsoft eközben hivatalosan nem kommentálta az esetet.

7 komment

A bejegyzés trackback címe:

https://antivirus.blog.hu/api/trackback/id/tr29780721

Kommentek:

A hozzászólások a vonatkozó jogszabályok  értelmében felhasználói tartalomnak minősülnek, értük a szolgáltatás technikai  üzemeltetője semmilyen felelősséget nem vállal, azokat nem ellenőrzi. Kifogás esetén forduljon a blog szerkesztőjéhez. Részletek a  Felhasználási feltételekben és az adatvédelmi tájékoztatóban.

buherator · http://buhera.blog.hu 2008.11.21. 13:47:36

Kérdés: Távoli vagy helyi sebezhetőség?
Kötözködés: Ha van admin jogunk, akkor minek a csordítgatás?

buherator · http://buhera.blog.hu 2008.11.21. 13:51:46

Akkor válaszolok is: helyben kihasználható a probléma.

A reportban egyébként elég jó támpontokat lehet találni a kihasználáshoz, szerintem egy héten belül lesz nyilvános exploit:

securityvulns.com/Udocument888.html

buherator · http://buhera.blog.hu 2008.11.21. 13:54:11

Jólvan, csak lejjebb kellett görgetni: ott a PoC :)

Csizmazia Darab István [Rambo] · http://antivirus.blog.hu 2008.11.21. 16:37:05

Hali!

Kötözködés jogos ;-)

Nem csak hogy egy héten belül ITW, hanem jövő nyárig szüret - hacsak az M$ nem korrigál...

Kazi (törölt) · http://redmond.blog.hu/ 2008.11.22. 00:44:53

A helyzet az, hogy ez úgy faszság, ahogy van, ugyanis a CreateIpForwardEntry2 függvény hívásához admin jog kell.

Idézet az eredeti leírásból:

www.securityfocus.com/archive/1/498471

"When adding a route entry to the IPv4 routing table using the method CreateIpForwardEntry2 and passing an illegal value greater than 32 [2] for the destination PrefixLength member in the DestinationPrefix structure contained in the MIB_IPFORWARD_ROW2 structure [3], kernel space memory is being corrupted resulting in random blue screen crashes."

A CreateIpForwardEntry2 függvény leírása az MSDN oldalon:

msdn.microsoft.com/en-us/library/aa814399(VS.85).aspx

"The CreateIpForwardEntry2 function can only be called by a user logged on as a member of the Administrators group. If CreateIpForwardEntry2 is called by a user that is not a member of the Administrators group, the function call will fail and ERROR_ACCESS_DENIED is returned. This function can also fail because of user account control (UAC) on Windows Vista and Windows Server 2008."

Itt a mese vége. Pont.

u.i.: egyébként a leguccsó linkelt cikk címe "A Vista minden idők legbiztonságosabb Windows operációs rendszere lesz", nem pedig minden idők legbiztonságosabb oprendszere. Nem ugyanaz.

charlie 2008.11.22. 21:50:16

Kik azok az "Oszták biztonsági kutatók"?

Használj elgépelés ellenőrzőt legalább...