BugTraq #7

Xakep, номер #043, стр. 043-008-3

IIS-server/Northwind?sql=SELECT+contactname,+phone+FROM+Customers+FOR+XML&root=<SCRIPT>alert(document.domain)</SCRIPT>

ISAPI фильтр SQLXML. Какова главная функция фильтра? Правильно, фильтровать, фильтровать грамотно, так, чтобы по специальным критериям. Один из возможных критериев - тип данных. Параметр для SQLXML задается по форме "?contenttype=параметр". Обратим взор на типичный, безобидный запрос:

IIS-server/demos?sql=select+*+from+Customers+as+Customer+FOR+XML+auto&root=r

oot&xsl=custtable.xsl&contenttype=text/html

Вряд ли до установки заплатки от MS нам кто-то помешает выполнить нужный код с правами SYSTEM, где крутится дырявый SQL Server 2000:

IIS-Server/Nwind/Template/catalog.xml?contenttype=text/AAAA...AAA

Понятно, что незнакомый "template" заменяется на нечто индивидуальное из ломаемой системы. Также был найден магический интервал - content-type параметр должен занимать от 240 до бесконечности знаков :). Магия приводит inetinfo.exe в состояние, когда несчастный готов исполнить практически любой желаемый нами код!

DoS - уязвимость IGMP

BT id 4708

Класс - ошибка дизайна

Тип эксплойтинга - удаленный

Дата - 14.06.02

Уязвимый продукт - мульти системно

Автор - Krishna N. Ramachandran <krishna@cs.ucsb.edu>

Тех, кто родился до 999 года прошлого тысячелетия, но не знает о суперизвестном IGMP - баге, приводившем Windoz до голубого экрана, я попрошу выйти и закрыть за собой дверь; тех, кто однажды нажал кнопку "Пуск", но не использовал глагол "VOIDOZERить" с частотой "ходить", я обяжу к закрытию номера журнала =). Остальным же будет интересно узнать последний компромат на многострадальный Internet Group Menagement Protocol.

Из официального RFC известно о Mulicast-группе. Сие не что иное, как звено сети, объединенное в группу, где, в случае актуальной проблемы, запросы рассылаются на все ethernet-адреса участников, а ответы уже приходят на сетевой адрес Multicast-группы. Злоумышленник же может разослать пакеты "звеньям звена" сети вместо запроса Multicast-группы - собственный ответ для той же группы. Хост-жертва, получив ответ машины злоумышленника, отказывается от посылки законного запроса с адреса Multicast-группы. Реакция жертвы абсолютно логична по мнению изобретателей IGMP - так было задумано изначально. Вряд ли гении кода предполагали, что из-за их изобретения маршрутизатор, бросивший IGMP-запрос, уже никогда не получит ответа!

Проблема не имеет каких-либо границ и относится к разряду мульти системных, когда WinD.O.w.S оказывается в столь же неудобном положении, как и Linux. Решение глобальной проблемы сколь радикально, столь и просто: всего лишь перекрываем движение всех IGMP-пакетов, что не отосланы с адреса Multicast-группы и направлены куда-либо, кроме того же ethernet-адреса той же группы.

Поясню, что искатель бага вовсе не сторчавшийся постоянный писатель WWW-конференции Aeroboard, не любитель сладкого - пожевать волшебные грибочки, и даже не типичный покупатель магазина Uneroid; господин эдвайзор лишь представитель настоящей индийской диаспоры :).