Luka w Windows: zapytanie SMB generuje BSOD
- Dodano: 8 września 2009
- Wprowadził: michuk
- Komentarze: 37
Odpowiednio spreparowane zapytanie SMB spowoduje spektakularną wywrotkę Visty i „siódemki”. Tę poważną lukę w zabezpieczeniach Windows odkrył Laurent Gaffié
Jak czytamy w wortalu DobreProgramy.pl:
W systemach tych zaimplementowano wersję 2.0 protokołu SMB (Server Message Block). W pliku SRV2.SYS występuje jednak błąd powodujący nieprawidłowe przetwarzanie nagłówków dla funkcji NEGOTIATE PROTOCOL REQUEST. Zapytanie to jest pierwszym, jakie klient wysyła do serwera i określa używaną wersję protokołu SMB. Jeśli w zapytaniu tym, w polu Process Id High znajdzie się znak „&”, wówczas generowany jest wyjątek PAGE_FAULT_IN_NONPAGED_AREA kończący się ekranem BSOD.
Na szczęście atak nie działa na domyślnej instalacji Windows. Obecnie nie istnieje łatka naprawiająca ten błąd.
Więcej informacji: http://www.dobreprogramy.pl/Krytyczna-lu...14376.html
Znalazłeś literówkę? Zgłoś ją używając formularza!
Jeśli uważasz, że ten nius jest nieobiektywny, przedstawia nieprawdziwe wydarzenie, jest spamem lub nie spełnia standardów serwisu, napisz raport.
Niusy na podobny temat:
Komentarze są prywatnymi opiniami dodających je osób. Prosimy o zachowanie kultury wypowiedzi. Komentarze obraźliwe oraz obniżające poziom serwisu będą usuwane. Więcej w regulaminie komentowania.
37 komentarzy
Wszystkie autorskie niusy w serwisie publikowane są na licencji Creative Commons Uznanie autorstwa 2.5 Polska.
Fajny news a teraz trochę realizmu.
1. SMB2 jest domyślnie wyłączony w Vista i Windows 7
2. Mają włączone Firewall który blokuje tego typu zapytania
3. Czyli trzeba się postarać aby paść ofiarą tego ataku.
Atak jest możliwy właściwie tylko w sieci LAN, ale.. jakie to idealne narzędzie na LAN-party
Widok wszystkich wysypujących się po kolei workstacji musi być bezcenny. Kolejna opcja – niezabezpieczone sieci WiFi – w szczególności publiczne hotspoty. Kolejne – kor-po-ra-cje! Tam w podsieci potrafi być i kilka K komputerów z włączonym udostępnianiem plików. Idealna rzecz, żeby zafundować wszystkim współpracownikom wolne. Kolejne – uczelnie, szkoły… Można tak wymieniać i wymieniać…
Reasumując – jest to cholernie poważna i niezałatana dziura. Oprócz tego istnieją podejrzenia, że atak możliwy jest także na Windows 2008 Server, co może mieć nieciekawe konsekwencje dla maszyn które są przykładowo kontrolerami domeny.
Hehe, w sieci LAN? Kilka lat temu bawiłem się w ten sposób, że brałem swój adres IP i przeszukiwałem przy pomocy Komby podobne adresy. Zawsze znalazło się kilka komputerów z udostępnionymi katalogami, nawet do zapisu. Teraz może być gorzej przez domyślnie włączone firewalle, ale tak samo będzie w Internecie jak i w LANie.
O czym informuje sam news:
Kurcze, uprzedziłeś mnie.. Już miałem wstępniak do artykułu. Dobrze że odświeżyłem poczekalnię bo był by dubel
Swoją drogą jest to kolejna implementacja funkcjonalności znanej z Windows 95 – WinNuke – polegającej na zdalnym wywołanu BSoD poprzez spreparowany pakiet TCP/IP.
Trochę bardziej prześmiewczy news jest na /. – http://it.slashdot.org/story/09/09/08/1345247/Win…
Pff, nie jaraj się, bo to jest lepsze
http://www.microsoft.com/technet/security/Bulleti… Znalazłem to dosłownie przed chwilą więc jeszcze nie patrzałem(to już jutro) i z tego wynika, że wystarczy wysłać spreparowany pakiet TCP na DOWOLNĄ nasłuchującą usługę w systemie Windows
Link zwraca niestety błąd 404… Z opisu wygląda dosyć obiecująco
Ten portal jest chyba przewrażliwiony na jakiś element mojego komentarze i po raz 3-ci go wyciął (pomimo przeredagowania) to muszę ci odpisać w ten sposób: http://www.nopaste.pl/f3x-wrap
Panowie administracja, bez jaj… Może jeszcze zaakceptujecie trzecią wersję mojego komentarza? Wystarczy jedna.
@barteq
Sprawdziłem na domyślnie zainstalowanej Vista i Windows 7 nie działa ten atak.
Na Windows 2008 SP2 oraz Windows 2008 R2 też nie działa (przynajmniej na moich serwerach).
Co do sieci korporacyjnych – jak administrator pozwala na udostępnianie katalogów z PC to chyba najwyższy czas go zmienić.
Nie za bardzo rozumiem o co chodzi z WiFi ?
A co do uczelni to jak się pozwala na wszystko uczniom to samemu jest się winnym. Sam wywalałem HP-UX i Linux na uczelni bo administrator nie założył żadnych limitów. Ale to było jakieś 8 lat temu.
> Nie za bardzo rozumiem o co chodzi z WiFi ?
Domyslnie winda nie wystawia tego bez wzgledu
czy wi-fi, czy nie, wiec o nic nie chodzi,
dzieci sie po prostu mocza z przejecia.
Wyjaśnię Ci coś o pracy administratora. Dobry administrator to taki co robi to co mu użytkownicy każą (oczywiście po ścieżce formalnej). Taki, który na coś ,,pozwala'' lub ,,nie pozwala'' długo nie popracuje. Gdziekolwiek.
Nie zgodzę się z definicją. To nie jest "dobry" administrator, tylko co najwyżej "zatrudniony" administrator
. Admin nie może pozwalać użytkownikom na robienie głupot i jest od tego aby wyjaśnić im co złego może być w proponowanym pomyśle. Natomiast to że szef może wymusić inne zachowanie, to inna sprawa niezwiązana z tym czy ktoś jest dobrym administratorem czy nie.
System powinien być bezpieczny, a nie komputer obleśny. Takie pseudozabezpieczenia nie za wiele się zdadzą. Limity powinny być, ale głównie do ochrony dzieci przed niepożądanymi stronami – nie powinno ich się zakładać na stacjach klienckich.
Przykro mi to mówić, ale pisanie o spektakularnej wywrotce w kontekście luki niedziałającej na domyślnej instalacji Windowsa to kompletny brak obiektywizmu. Jeżeli widzi to linuksiarz taki jak ja, to już nie jest dobrze. Jeszcze niedawno nie spodziewałbym się obniżania poziomu serwisu przez Ojca Dyrektora. Chlip… :/
Całkiem sporo ludzi udostępnia jakieś pliki. Często nawet nie wiedząc, że mają aktywną sambę. Np. kiedyś coś komuś przesyłali i nie wyłączyli.
Ale istotnie, w wiadomości brakuje info o tym, co trzeba zrobić, żeby system stał się podatny. W szczególności, czy samo włączenie udostępniania wystarczy. Jeżeli tak, to już nie jest to "luka niedziałająca na domyślnej instalacji", tylko "luka, która czeka na włączenie przez użytkownika". Ze względu na znaczną popularność samby nie wiele różni się to od "luki działającej od razu".
Chociaż, zgodnie z Twoim tokiem rozumowania żaden atak sieciowy nie działa od razu. Użytkownik musi się najpierw podłączyć do internetu. Czyli ataki sieciowe są niegroźne.
Ok, mi nie zależy, nie będę się kłucić
"W szczególności, czy samo włączenie udostępniania wystarczy."
Z tego, co zostało napisane, wynika, że właśnie to jest wystarczające.
Ze względu na znaczną popularność samby nie wiele różni się to od “luki działającej od razu”.
I to jest największy problem, gdy luka korzysta z jednej z najważniejszych funkcjonalności.
O tym słyszeli?
http://twitter.com/caschy/status/3841761884
Niezła porażka, bo to też (w sumie) dość często spotykana konfiguracja (tak, gdzie używa się TV).
Może po polsku albo chociaż po angielsku? (ewentualnie bardzo prosty tekst po rosyjsku/białorusku albo bardzo, bardzo prosty tekst po hiszpańsku).
Gdyby tylko Linux miał takie dziury.
Gdybym na swoim archu ujrzał BSoDa, to pewnie bym zemdlał z wrażenia
To uważaj na xscreensaver
albo kernel panic
Tak na prawdę, co do porównania "bugowatości" Linuksa i Windows wiemy tyle, że dziur w Linuksie programiści nie ukrywają, a MS, jak ktoś sam czegoś takiego nie rozgłosi, może się prędko nie przyznać. Także z porównaniami trzeba ostrośnie (tak, to się tyczy też linuksowych "fanboyów"). Faktem jednak jest, że tzw BSOD jest i u mnie rzeczą daaawno nie widzianą. Ostatni raz na Windowsie
I prawdą jest, że Linuksiarze ogólnie mniej zażekają na stabilność systemu niż windowsiarze… a może mi się zdaje? Może to dlatego, że tych drugich jest więcej? 
A to co takiego? Już wyjaśniam-lista dziur załatanych w wydaniu 5.0.3 Debiana:
DSA-1813 evolution-data-server Regressions in previous security update
DSA-1816 apache2 Privilege escalation
DSA-1816 apache2-mpm-itk Privilege escalation
DSA-1826 eggdrop Several vulnerabilities
DSA-1827 ipplan Cross-site scripting
DSA-1828 ocsinventory-agent Arbitrary code execution
DSA-1829 sork-passwd-h3 Cross-site scripting
DSA-1830 icedove Several vulnerabilities
DSA-1831 djbdns Privilege escalation
DSA-1832 camlimages Arbitrary code execution
DSA-1833 dhcp3 Arbitrary code execution
DSA-1834 apache2 Denial of service
DSA-1834 apache2-mpm-itk Denial of service
DSA-1838 pulseaudio Privilege escalation
DSA-1840 xulrunner Several vulnerabilities
DSA-1842 openexr Several vulnerabilities
DSA-1843 squid3 Denial of service
DSA-1845 user-mode-linux Several vulnerabilities
DSA-1846 kvm Denial of service
DSA-1847 bind9 Denial of service
DSA-1848 znc Remote code execution
DSA-1851 gst-plugins-bad0.10 Arbitrary code execution
DSA-1852 fetchmail SSL certificate verification weakness
DSA-1853 memcached Arbitrary code execution
DSA-1854 apr Arbitrary code execution
DSA-1854 apr-util Arbitrary code execution
DSA-1855 subversion Arbitrary code execution
DSA-1856 mantis Information leak
DSA-1857 camlimages Arbitrary code execution
DSA-1858 imagemagick Several vulnerabilities
DSA-1859 libxml2 Several issues
DSA-1860 ruby1.8 Several issues
DSA-1865 user-mode-linux Several vulnerabilities
DSA-1867 kdelibs Several vulnerabilities
DSA-1869 curl SSL certificate verification weakness
DSA-1870 pidgin Insufficient input sanitization
DSA-1871 wordpress Several vulnerabilities
DSA-1873 xulrunner Spoofing vulnerabilities
DSA-1874 nss Several vulnerabilities
DSA-1875 ikiwiki Information disclosure
DSA-1876 dnsmasq Remote code execution
DSA-1877 mysql-dfsg-5.0 Arbitrary code execution
Wszyscy doskonale wiedzą że te błędy wywołują BSOD na Linuksowych komputerach.
http://www.microsoft.com/poland/technet/security/…
Nie licząc baz danych, serwerów, różnych innych programów, itd.
Np. tu:
DSA-1873 xulrunner Spoofing vulnerabilities
Czy Microsoft też publikuje w swych biuletynach informacje o dziurach w silniku do wyświetlania gui firefoxa? Albo kodu do silnika blogowego:
DSA-1871 wordpress Several vulnerabilities
"Czy Microsoft też publikuje w swych biuletynach informacje o dziurach w silniku do wyświetlania gui firefoxa?"
A w którym konkretnie miejscu kończy się dana dystrybucja GNU/Linux a zaczynają się "niezależne aplikacje" ?
Czy luka w GDM-ie to też będzie luka w GDM-ie a nie w dystrybucji?
…to była by woda na młyn dla tych, których drażnią linuksowi "fanboye"
Ale na szczęście TAKICH dziur nie ma. W Linuksie większość usług sieciowych (wszystkie?) to programy w przestrzeni usera. Jak się który wykopyrtnie, reszta dalej działa. Są za to inne problemy 
I tak, każdy ma własne. Ale dzięki Linuksowi ja przynajmniej, żeby kożystać z tych problemów, nie muszę płacić za licencję 
O, już ktoś przede mną raczył wymienić część z tych problemów. Hmm, o większości nawet człowiek nie wiedział…
Zastanawia mnie ten fragment:
'Jeśli w zapytaniu tym, w polu Process Id High znajdzie się znak “&”, wówczas generowany jest wyjątek'
Chwilkę się pobawiłem z serwerem 2008 i wcale tam nie musiał być konkretnie &, serwer wywalił się jeśli wartość była większa od 3.
Workaround proponowany przez MS jest ciekawy – wyeliminować sambę z sieci firmowej… a jak ktoś ma kontroler domeny na w2008?
Zdaje się, że firewall temu przeciwdziała, więc nie wydaje się to wielkim problemem.
"Zdaje się, że firewall temu przeciwdziała, więc nie wydaje się to wielkim problemem."
Ale w jaki sposób? Skoro w przypadku udostępniania wymagany jest otwarty port 445, to system jest podatny na atak.
Windows to nie linux, ze firewall to tylko blokada portów, ale też blokada programów i konkretnych wywołań na dane porty.
"Windows to nie linux, ze firewall to tylko blokada portów, ale też blokada programów i konkretnych wywołań na dane porty."
No, tak, przyzwyczaiłem się już, że co poniektórzy muszą pisać bajki, widać taki przymus "literacki".
Vista z włączoną usługą udostępniania plików po wysłaniu spreparowanego pakietu po prostu się restartuje.
A nowoczesny firewall to jest właśnie "blokada programów i konkretnych wywołań na dane porty".
I tutaj nie pomoże, gdyż luka dotyczy takiej usługi, która (przynajmniej w LANie) MA BYĆ dostępna.
MS podał informacje pozwalające na wyłączenie SMB2, co wydaje się być jedynym sensownym rozwiązaniem obecnie.
Kurde – luka luką, ale o tym że exploit w Pythonie Gaffié napisał to nie wspomnieliście…
Mi się przypomniała jedna luka w jakimś BSD(nie pamiętam które). Też ukazywała się tylko przy współpracy z sambą, a była dosyć stara.