В Windows XP, Vista и Server найдена опасная брешь

[Vanterlog]

дата: 24.10.08

источник: http://safe.cnews.ru/news/line/index.shtml?2008/10/24/324621

"Лаборатория Касперского" распространила сообщение, в котором предупредила о необходимости установить обновление MS08-067 для операционных систем Windows 2000, XP, Vista, Server 2003 и 2008. Причем, для Windows 2000, XP и Server 2003 обновление носит критический характер, предупреждают эксперты ЛК.


Уязвимость, которую исправляет последнее обновление, представляет серьезную угрозу для многочисленных пользователей ПК, говорится в сообщении антивирусной компании.

"Факт выхода внеочередного патча сам по себе уникален - последнее подобное обновление было весной 2007 г., - отмечают в "Лаборатории Касперского". - В этот раз оно призвано избежать распространения через обнаруженную уязвимость потенциальных вредоносных червей, которые могут быть созданы злоумышленниками в ближайшие дни, а также исключить риск хакерских атак, связанных с уязвимостью".

По сведениям "Лаборатории Касперского", эта "брешь" схожа с критическими уязвимостями Microsoft Windows, обнаруженными в 2003-2004 гг., приведшими к массовым вирусным эпидемиям таких опасных сетевых червей, как LoveSan, Sasser и Rbot.

Уже известно, что существует вредоносная программа Trojan-Spy.Win32.Gimmiv.a, которая распространяется благодаря описанной уязвимости. Этот "троянец" был добавлен в антивирусные базы "Лаборатории Касперского" в ночь на 24 октября, и представляет собой программу-шпиона, нацеленную на кражу паролей пользователей. По данным экспертов "Лаборатории Касперского", осуществивших анализ данной троянской программы, она имеет китайское происхождение. Кроме того, обнаруженная уязвимость в операционной системе Windows позволяет злоумышленникам удаленно получать полный контроль над компьютером пользователя.

[Sinay]

о,опять уязвимость!

[HighExcel]

Дайте сплоит =)

[PandoraBox]

Краткое описание уязвимости

Уязвимость существует из-за ошибки в библиотеке netapi32.dll при обработке RPC запросов в службе Server. Удаленный пользователь может с помощью специально сформированного RPC запроса вызвать переполнение буфера в стеке и вызвать отказ в обслуживании системы или выполнить произвольный код на целевой системе с привилегиями учетной записи SYSTEM.

Технические подробности уязвимости

Уязвимость существует в библиотеке netapi32.dll из-за ошибки в механизме подсчета аргументов функции wcscpy_s(dest, len, source), расширяемой макрос _tcscpy_s(previousLastSlash, pBufferEnd - previousLastSlash, ptr + 2); который в цикле while() обрабатывает большое количество постоянно обновляемых аргументов.

Потенциальная опасность уязвимости

Уязвимость может эксплуатироваться анонимным пользователем на Windows 2000/XP/2003 и аутентифицированным пользователем на Windows Vista/2008. Для успешной эксплуатации уязвимости атакующему потребуется получить доступ к RPC интерфейсу системы. По умолчанию, межсетевой экран (МСЭ) включен на Windows XP SP2, Windows Vista и Windows Server 2008. Итак, злоумышленник может воспользоваться уязвимость в следующих случаях:

1. МСЭ отключен
2. МСЭ включен, но также разрешена служба доступа к файлам и принтерам

Windows 2000 – удаленное выполнение кода и отказ в обслуживании
Windows XP SP2 – удаленное выполнение кода и отказ в обслуживании (DEP без ASLR)
Windows Server 2003 – удаленное выполнение кода и отказ в обслуживании (DEP без ASLR)
Windows Vista - отказ в обслуживании (DEP+ASLR)
Windows Server 2008 - отказ в обслуживании (DEP+ASLR)

Патчи устранения уязвимости:

Windows 2000 SP4 - http://www.microsoft.com/downloads/details.aspx?familyid=E22EB3AE-1295-4FE2-9775-6F43C5C2AED3&displaylang=ru
Windows XP SP2 - http://www.microsoft.com/downloads/details.aspx?familyid=0D5F9B6E-9265-44B9-A376-2067B73D6A03&displaylang=ru
Windows XP SP3 - http://www.microsoft.com/downloads/details.aspx?familyid=0D5F9B6E-9265-44B9-A376-2067B73D6A03&displaylang=ru
Windows XP x64 Edition - http://www.microsoft.com/downloads/details.aspx?familyid=4C16A372-7BF8-4571-B982-DAC6B2992B25&displaylang=ru
Windows XP x64 Edition SP2 - http://www.microsoft.com/downloads/details.aspx?familyid=4C16A372-7BF8-4571-B982-DAC6B2992B25&displaylang=ru
Windows 2003 SP1 - http://www.microsoft.com/downloads/details.aspx?familyid=F26D395D-2459-4E40-8C92-3DE1C52C390D&displaylang=ru
Windows 2003 SP2 - http://www.microsoft.com/downloads/details.aspx?familyid=F26D395D-2459-4E40-8C92-3DE1C52C390D&displaylang=ru
Windows 2003 x64 Edition - http://www.microsoft.com/downloads/details.aspx?familyid=C04D2AFB-F9D0-4E42-9E1F-4B944A2DE400&displaylang=ru
Windows 2003 x64 Edition SP2 - http://www.microsoft.com/downloads/details.aspx?familyid=C04D2AFB-F9D0-4E42-9E1F-4B944A2DE400&displaylang=ru
Windows Vista 32bit All - http://www.microsoft.com/downloads/details.aspx?familyid=18FDFF67-C723-42BD-AC5C-CAC7D8713B21&displaylang=ru
Windows Vista x64 Edition All - http://www.microsoft.com/downloads/details.aspx?familyid=A976999D-264F-4E6A-9BD6-3AD9D214A4BD&displaylang=ru

Дайте сплоит =)
сплоиты на dos (отказ в обслуживании): http://milw0rm.com/sploits/2008-ms08-067.zip
сплоит для удаленого отказа пока что нема

[Sonatic]

Респект! Латаемся=)

[Flame of Soul]

она имеет китайское происхождение

))) в блокноте открывали?
троянто может и китайский а
эта "брешь"
сроду не их заслуга

[Велемир]

Эх...интересно,как они находят уязвимости.Представляю,ско лько на это труда,времени и сил ушло.Ужас просто.