Обзор эксплойтов

Крис Касперски ака мыщъх

Хакер, номер #092, стр. 092-050-3

Targets

Все версии WinAmp'а до 5.21 включительно;

Exploit

securityfocus.com/data/vulnerabilities/exploits/winamp_midi_bof.c;

Solution

а) обновите свою версию WinAmp'а до 5.22 (или выше), несовместимость с ранними plug-in'ми и тормоза на слабых машинах;

б) не используйте WinAmp для проигрывания midi-файлов, сбросив соответствующую галочку в файловых ассоциациях, а для большей надежности еще удалив файл in_midi.dll из каталога Plugins.

Full disclose

NT: удаленная дыра в TCP/IP-драйвере

Brief

13 июня 2006 на Microsoft TechNet появилось сообщение о переполнении буфера в TCP/IP-драйвере, позволяющее «уронить» систему в голубой экран смерти и даже передать управление на shell-код, выполняющийся с привилегиями SYSTEM: microsoft.com/technet/security/Bulletin/MS06-032.mspx; опасности был присвоен important-статус, и через несколько часов она перекочевала на www.securityfocus.com и другие хакерские сайты.

Targets

Уязвимости подвержены следующие системы: NT Workstation/Standard Server/ Terminal Server/Enterprise Server; W2K Professional/Standard Server/Datacenter Server/Advanced Server; XP Tablet PC/Media Center/Home/Professional/Professional x64/Datacenter Server/Advanced Server; Server 2003 Standard/Standard x64/Web/Enterprise/Enterprise x64/Datacenter/Datacenter x64 со всеми установленными Service Pack'ами. Другими словами, уязвима вся линейка NT-подобных систем. На 9x эта угроза не распространяется;

Exploits

securityfocus.com/data/vulnerabilities/exploits/18374-DoS-PoC.c;

securityfocus.com/data/vulnerabilities/exploits/18374-DoS-PoC.txt;

Solution

а) установить заплатку от Microsoft, которую можно скачать с update.microsoft.com, б) отключить IP Source Routing (IP-маршрутизацию от источника) путем создания параметра DisableIPSourceRouting типа DWORD со значением 2 в следующем ключе: HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters и перезагрузить компьютер, причем на «нормальную» маршрутизацию пакетов это никак не повлияет; в) заблокировать на брандмауэре IP-пакеты с опциями 131 (LSRR: Loose Source-n-Record Route — свободная маршрутизация от источника с записью маршрута) и 137 (SSRR: Strict Source-n-Record Route — жесткая маршрутизация от источника с записью маршрута). Не путайте их с портами – это не порты, а именно опции IP-пакетов, но, к сожалению, далеко не все персональные брандмауэры позволяют осуществлять столь гибкую фильтрацию.

Details

Дыру в TCP/IP обнаружил наш соотечественник Андрей Минаев, (angel3000@hotbox.ru), обративший внимание на странное поведение системы при обработке IP-пакетов с взведенной опцией свободной/жесткой маршрутизации и промежуточным адресом, равным 0.0.0.0, что трактуется как «адрес данного узла». Если на целевой системе работал NAT-сервер (Network Address Translation – Сервер трансляции сетевых адресов), встроенный, в частности, в Windows 2000, то система выпадала в BSOD с ошибкой в TCPIP.SYS, NTOSKRNL.EXE или начинала вести себя нестабильно, что вполне типично для ошибок переполнения с 0171 «ударом по памяти».