Обзор эксплойтов

Крис Касперски

Хакер, номер #095, стр. 095-060-1

Microsoft Windows SMB: удаленное выполнение кода

Brief

В службе общих файлов и принтеров обнаружилась ошибка, о которой рапортовали сразу 2 человека - Gerardo Richarte из Core Security Technologies и Matthew Amdur из VMWare, - а также исследовательские группы NS Focus и Fortinet. Послав специальным образом сконструированный пакет, любой неавторизованный злоумышленник может вызвать основательное разрушение внутренних структур драйвера SRV.SYS, что приведет либо к отказу в обслуживании, либо к захвату управления на уровне нулевого кольца. Все это дает неограниченную власть над компьютером. Образец пакета-разрушителя содержится в exploit'е, написанном хакером cocoruder'ом (frankruder#hotmail.com) и опубликованном Senthil Velan'ом. Подробности об уязвимости содержатся в бюллетене безопасности Microsoft, зарегистрированном под номером MS06-063: http://www.microsoft.com/technet/security/Bulletin/MS06-063.mspx.

Targets

Уязвимости подвержены практически все Windows-системы: w2k SP4, XP SP1/SP2, XP x86-64, Server 2003/Server 2003 SP1/Server 2003 x86-64/Server 2003 IA64 (Itanium).

Exploit

Исходный код exploit'а, вызывающего отказ в обслуживании (но не удаленное выполнение кода!) лежит на сервере security-focus'a: http://downloads.securityfocus.com/vulnerabilities/exploits/MS06_035-aug222006.c.

Solution

Microsoft уже выпустила заплатки для всех своих систем, которые можно скачать через службу Windows Update, однако никаких гарантий, что дыра залатана полностью, у нас нет (и знака ОТК на заплатках что-то не наблюдается). Поэтому для надежности рекомендуется закрыть следующие порты на брандмауэре: UDP: 135, 137, 138 и 445; TCP: 135, 139 и 445 (при этом, естественно, общий доступ к файлам и принтерам работать не будет).

Google Earth: удаленное выполнение кода

Brief

В первых числах октября коллектив исследователей JAAScois Security Team обнаружил огромную дыру в приложении Google Earth (beta), выпущенном 13 сентября 2006 года (вот что значит релизить продукт по несчастливым числам!). Дыра допускала возможность засылки shell-кода с последующим захватом управления и привилегий запустившего его пользователя. А большинство пользователей, как известно, постоянно сидят под администратором. Это типичное переполнение буфера в обработчике kml- и kmz-файлов: программа выделяет блок памяти фиксированного размера и копирует туда принятые данные, забыв перед этим проверить их фактическую длину.

Target

Дыра содержится в версии 4.0.2091. Как и принято у гугла, носящего статус beta, про более ранние версии пока ничего неизвестно. При запуске приложения под управлением Windows Vista (вплоть до RC1), работающей на процессорах с аппаратной поддержкой DEP (то есть битов NX/XD), вероятность успешной атаки составляет 1/256 за счет частичной рандомизации адресного пространства, а в остальных случаях уязвимая бета рушится с воплем о критической ошибке.

Exploit

Исходный код exploit'а, демонстрирующего переполнение, но не содержащего shell-кода, можно скачать как с сервера security-focus'а: downloads.securityfocus.com/vulnerabilities/exploits/google-earth-v4.0.2091beta-bufferoverflow.c, так и с сервера самого коллектива JAAScois Security Team: http://www.jaascois.com.

Solution

Поскольку компания Google предпочла действовать методом страуса, рекомендуется прекратить использование Google Earth (beta) вплоть по изменения ситуации - выхода обновленной беты или, по крайней мере, заплатки.

Toshiba Bluetooth-стек: удаленное выполнение кода

Brief

Фирма Toshiba выпускает чипы беспроводных Bluetooth-устройств, используемые многими производителями материнских плат и другого оборудования. Она же пишет под них драйверы, реализующие сетевой Bluetooth-стек (не путать с обычным стеком). 11 октября 2006 года David Maynor из SecureWorks, Inc. и независимый исследователь Jon Ellch опубликовали сообщение о дыре в драйвере TOSRFBD.SYS. Дыра приводит к разрушению памяти с отказом в обслуживании типа перезагрузки системы или голубого экрана смерти, а при удачном стечении обстоятельств — и к захвату управления компьютером на ядерном уровне привилегий. В последнем случае хакер должен находиться в радиусе действия Bluetooth-устройства или вооружиться направленной антенной, поражающей его на расстоянии прямой видимости. Технические подробности можно найти на http://trifinite.org/trifinite_advisory_toshiba.html.