Обзор эксплоитов

Докучаев Дмитрий aka Forb

Xakep, номер #060, стр. 060-080-1

(forb@real.xakep.ru)

Messenger Service Remote Exploit

Описание:

Уязвимость в сервере сообщений была обнаружена еще 16 октября. Если послать кривой пакет, то выполнится любой код с правами администратора. В этот же день был выложен специальный сканер уязвимости. Если операционка не пропатчена, то он отсылает соответствующее сообщение администратору системы. Эксплоит для этой уязвимости не выкладывался целый месяц. Только 15 ноября вышла первая версия сорсов и бинарников для Windows-платформ. Программы содержали в себе два рабочих таргета для Windows 2000 и Windows XP SP1.

Защита:

Служба Messenger – важный сервис, и его нельзя отключать. Сервис используется для передачи системных сообщений администратору и пользователям от других сервисов (например, от службы, работающей с UPS). Защититься от уязвимости можно двумя способами: установить специальный патч от мелкомягких (www.microsoft.com/downloads/details.aspx?FamilyId=F02DA309-4B0A-4438-A0B9-5B67414C3833&displaylang=en) либо фильтровать 135 порт. Думаю, после нашумевших RPC-уязвимостей, большинство форточников все-таки поставили себе фаервол.

Ссылки:

Скачать прекомпиленный эксплоит можно по адресу www.securitylab.ru/_exploits/msgr07.exe, бинарный файл лежит тут: www.securitylab.ru/_exploits/msgr07.c.txt. Подробнее ознакомиться с уязвимостью можно на странице www.security.nnov.ru/search/document.asp?docid=5250. Сканер уязвимости выложен на этом же сайте (www.security.nnov.ru/files/scanmsgr.exe).

Злоключение:

Сервис Messenger включен по умолчанию во всех системах до Windows 2003, поэтому эксплоит представляет большую опасность для всех пользователей.

Greets:

Эксплоит был написан человеком из Киргизии (netmaniac@hotmail.kg). Сама уязвимость была обнаружена русским хакером Recca (recca@mail.ru).

Sun Solaris Runtime Linker Local Exploit

Описание:

Совсем недавно Sun Microsystems утверждала, что Solaris 9 является чуть ли не самой надежной системой в мире. Но это оказалось совсем не так. Один финский ковырятель обнаружил уязвимость в линкере солярки (SPARC-версия). Ошибка заключалась в переполнении буфера при обращении к библиотеке /lib/ld.so.1, через переменную окружения LD_PRELOAD. Это переполнение вызывает сегментацию данных, что позволяет захватить систему. Уязвимыми оказались все версии Solaris для SPARC-процессоров. Сама ошибка была обнаружена давно, а вот эксплоит на паблик выложили только сейчас.

Защита:

Сразу после обнаружения переполнения буфера был выпущен специальный патч. Найти его можно на сайте www.sunsolve.sun.com. Там же лежит подробная статья о том, как закрыть эту багу (sunsolve.sun.com/pub-cgi/retrieve.pl?doc=fsalert/55680).

Ссылки:

Ознакомиться с кодом эксплоита можно по адресу www.security.nnov.ru/files/ldso1_SPARC_ex.c. А на www.security.nnov.ru/search/document.asp?docid=4910 лежит инфа, обнаруженная более трех месяцев назад.

Злоключение:

Солярка, вообще, очень надежная система. Поиметь даже непривилегированный аккаунт на подобной машине дольно сложно (SPARC-процессоры, как правило, используются на крупных серверах). Но я все же очень рекомендую всем sun-админам проверить свои системы.