Все новости от 11 апреля 2003 г.

Баг делает Windows уязвимой к Java-атакам

Три предупреждения, выпущенных компанией в среду, относятся к ПО Microsoft Virtual Machine для исполнения Java-аплетов в Windows, к багу cross-site scripting в одном из компонентов Windows 2000 и Windows NT 4.0 и к багу denial-of-service, затрагивающему Proxy Server 2.0 и ISA Server. Таким образом, общее количество предостережений, выпущенных Microsoft в этом году, достигло 12. В конце прошлого месяца компания выпустила патчи для Windows и IIS.

Ошибка Virtual Machine (VM) — наиболее серьезная, «критическая» по шкале Microsoft. VM поставляется с большинством версий Windows и с некоторыми версиями Internet Explorer и используется для исполнения так называемых аплетов, написанных на языке Java от Sun Microsystems.

Компонент VM, называемый ByteCode Verifier, неправильно проверяет наличие определенного вредоносного кода при загрузке аплетов, что позволяет атакующему внедрить такой код в ПК пользователя через веб-страницу или e-mail. Там этот аплет может исполнить произвольную программу, исполняющую любые операции, от очистки жесткого диска до организации лазейки для новых атак. VM содержится в версиях Windows 95, Windows 98 и 98SE, Windows ME, Windows NT 4.0, начиная с Service Pack 1, а также Windows 2000 и Windows XP. Уязвимость обнаружена в редакциях VM 5.0.3802 и выше до 5.0.3809 включительно, но, возможно, ей подвержены и более ранние версии ПО. Чтобы исключить ее, необходимо загрузить последние редакции с номерами 3810 и выше. Инструкции по загрузке и установке имеются на веб-сайте Microsoft.

Microsoft отмечает, что для использования уязвимости атакующий должен заманить пользователя на особый веб-сайт или заставить его открыть электронное сообщение. Клиенты e-mail, накладывающие ограничения на HTML-контент в сообщениях, такие как новейшие версии Outlook, предотвращают возможность успешной атаки.

Баг cross-site scripting
Баг cross-site scripting (CSS) влияет на сервис Microsoft Indexing Services для Windows 2000 и Windows NT 4.0. Атаки этого типа известны с февраля 2000 года и могут воздействовать на разнообразное серверное ПО, позволяя злоумышленнику вводить произвольный код через подлинный веб-сайт во время сеанса работы с браузером пользователя.

К CSS-атакам уязвим компонент сервиса Indexing Services, называемый CiWebHitsFile. Microsoft выпустила патч, исправляющий ошибку. Indexing Services — это сервис поиска, интегрированный в Internet Information Server и Windows 2000.

Баг denial of service
Microsoft Proxy Server 2.0 и ISA Server содержат уязвимость, которая позволяет злоумышленникам внутри сети вывести это ПО из строя при помощи особого пакета данных. Этот пакет вызывает 100%-ную загруженность центрального процессора, и система перестает реагировать на внешние запросы. Хотя после перезагрузки ПО снова начинает работать, оно все равно остается уязвимым к той же атаке.

Оба указанных компонента ПО содержат дефектную версию сервиса Winsock Proxy, который позволяет определенным клиентским приложениям работать так, как если бы у них был прямой доступ к интернету, хотя трафик направляется на внутренний сервер.

Microsoft выпустила патч для исправления этой ошибки и отмечает, что, хотя атака может привести к выводу сервера из строя, она не позволяет хакеру получить какие-либо привилегии или нарушить содержание контента, хранящегося на сервере. 

 Предыдущие публикации:

 В продолжение темы:

Обсуждение и комментарии

	Vitaliy 11 Apr 2003 1:27 PM
Чем не повод поставить нормальную JVM от SUN?
	Просто так 11 Apr 2003 2:03 PM
2Vitaliy да нафига эта тормозилка? к тому же у меня ХР уже честно все автоматически проапдейтила и на работе, и дома, и на ноуте...
	Олег 11 Apr 2003 2:47 PM
Баг denial of service сегодня испытал на себе... Блин!
	- 11 Apr 2003 3:11 PM
а проапдейтить вчера?
	me - userinternet.com 11 Apr 2003 5:12 PM
>> Чем не повод поставить нормальную JVM от SUN? http://developer.java.sun.com/developer/bugParade
	Vitaliy 11 Apr 2003 5:39 PM
2Просто так: что бы java программы работали :) ms jvm - очень тормозная, да и глюков у неё хватает, она для java не выше 1.1.7 у многих из за неё сложилось впечатление, что java тормозит на desktop'е
	Wintermute - devnul.ru 11 Apr 2003 7:35 PM
2 Vitaliy: Насчет глюков - согласен. Устарела - согласен. Однако насчет тормозов - неправда, MS JVM по скорости исполнения апплетов в MSIE и программы HtmlToHlp делает Sun JVM во все дыры.
	Наблюдатель 11 Apr 2003 10:30 PM
Вот что интересно, 2 апреля была обнаружена дырка (уязвимость к DoS в результате memory leak) в Апаче до версии 2.0.44 включительно для _всех_ платформ, а 7 дырка в самбе (дает возможность получить полный контроль над сервером с самбой), но об этом почему-то не принято писать статьи:)
	Наблюдатель 11 Apr 2003 10:51 PM
Про самбу беру свои слова обратно:)
	PTO - ptokgb.ru 12 Apr 2003 12:17 AM
2 Наблюдатель: угу... в Самбе уже вторая за месяц ошибка... до этого в очередной раз порадовал Сендмейл + маленькая неприятность в ядре линукса, что делает элевацию пермишеннов до рута с легкостью невероятной... ВСЕ продукты опенсорс, во ВСЕХ эти баги годами находятся... в линуксе 2 года, в Самбе 8 лет, в Сендмейле уже более 20... миллионы глаз все смотрят и смотрят... вот сегодни еще в КДЕ нашлась бага - мелкая... типа открываешь ПДФ или ПС файл, а он такой кривой, что КДЕ исполняет чего пожелает атакующий... например рассылает свои копии по адресной книге пользователя... молодцы - догнали винды 97 года разлива по показателю работоспособности почтовых вирусов... интересно - кто-нибудь напишет такую каку или нет? а то пионеров, которые поставили себе безопасный линукс много, а про то, что его нужно регулярно патчить (как и любую другую ОС) им не сказали...
	Staven 12 Apr 2003 1:19 AM
2PTO объясни при чем тут KDE и Линукс, уж тогда упомяни все ОС для которых есть порты KDE, или Тебе Лин спать спокойно не дает? У меня на машине ЛВУ никогда не было и нет, а вот то, что стали находить баги в не серверных прогах говорит только о росте использования KDE на десктопных машинах. Надеюсь Тебе не надо объяснять что на серваках его никто в здравом уме не держит.
	Interrupt 12 Apr 2003 3:31 AM
2 Staven: Елки, если уже такое кол-во дыр находят, при том что на десктопах Линукса почти еще нет, то что же будет происходить, если Линукс немного популярней станет...
	####### 12 Apr 2003 5:46 AM
2 Interrupt - то же что сейчас с окнами и даже еще хуже. Увы, но факты упрямая вещь. Вот только кого изберут "мальчиком для битья", хотя "если в кране нет воды - виноваты..." снова Билл!
	Staven 12 Apr 2003 10:35 AM
2Interrupt Ты прав- дальше тоже будут находить ( правда непонятна Твоя фраза про "такое количество дыр"- уточни какое?). Факт массового присутствия KDE на десктопах уже реальность и его присутвии на них будет только расти. Хотя стоит отметить что новость то про MS, и она вообщем-то никого не удивляет- все как и должно быть.)))
	cjavad 12 Apr 2003 2:34 PM
Парни! смысл в том, что если бы MS открыла код, то сразу бы занялась поддержкой софта(тем, чем все из нас занимаются) т.к. софт-бизнес никому не нудеж(в том масштабе в котором он есть, хотя с точки зрения эволюции - все логично).
	cjavad 12 Apr 2003 2:40 PM
РТО: ты напиши хоть один эксплоит и тогда трепись на весь мир, а то майкрософт пишет меньше всех, ворует больше всех и еще тут учит.
	Black Bat 13 Apr 2003 1:06 AM
я тут провёл исследование но фирмам города, как софтовых, так и совсем из другой темы на предмет используемых ОС на десктопах - и обнаружил только один с Линуком - остальное Windows (от 95-ого до XP). Вот.
	glassy 14 Apr 2003 7:59 AM
2Black Bat: это говорит только о том, что на маки денег нет :)
	Deaddy 14 Apr 2003 9:51 AM
2glassy: И слава Богу, что нет. Если б Мак был таким же популярным, как хотя бы лин, то за дыры в макосе наезжали бы еще и на Джобса ;-)
	Федор 14 Apr 2003 11:57 AM
2 cjavad: Можно подумать, что MS не занимается поддержкой софта. Я не говорю уже о бесплатной поддержке офисных продуктов. А про то что существует платная поддержка корпораций вам известно? И как много компаний в России ей пользуются и довольны? Или по вашему поддержка - это только обсуждения в конфах?
	Федор 14 Apr 2003 11:59 AM
2 cjavad Не стоило вам этого писать по поводу РТО. Уж кто-кто, а он вас эксплойтами завалит. Наверное стоит для начала почитать обсуждения на zdnet.
	PTO - ptokgb.ru 14 Apr 2003 1:16 PM
2 Staven: я бы помянул, не проблема... тока вот работающий эксплоит я видел только для линукса... будут для других ОС/процессоров и их отметим... просто нет так давно мне тут упорно рассказывали, что в Линуксе почтовые вирусы В ПРИНЦИПЕ не возможны... теперь оказывается, что в принципе они возможны... и мои слова, что как только хоть чуть-чуть Линукс появится на десктопах и станет видимым, то под него начнут находить такое кол-во багов и дыр в безопасности, что история с МСом покажется просто мелкой неприятностью... видимо подтверждаться начинают... осталось только подождать и посмотреть что случится раньше - народ начнет пугаться линукса как багливого чудища до массового вторжения на десктоп или уже после? 2 cjavad: ну вообще говоря мною найдены несколько ошибок в ряде продуктов, получал я благодарности и на сайте МСа и других производителей ПО... статейки по безопасности имею на ряд языков переведенные... вот собственно и треплюсь... а что сделали вы?
	Vitaliy 14 Apr 2003 1:36 PM
2 Wintermute: не знаю как в MSIE но в opera Java applets работают явно быстрее. Причем старт быстрее в разы.
	miroh 14 Apr 2003 2:28 PM
2Vitaly Ну Wintermute известный фантазер - не обращайте внимания. Кроме того, что по скорости современная JVM превосходит мсовскую в разы надо учесть, что изначально и по сей день главный пунктик у сана - безопасность.И такого бардака как у мс с сановской jvm не будет никогда.
	Staven 14 Apr 2003 8:30 PM
2 PTO Ты прикалываешься? Новость прочти еще раз... И что кстати Ты имеешь ввиду под эксплойтом? Уточни чтобы не разговаривать на разных языках. А по поводу возможности в принципе подождем.
	PTO - ptokgb.ru 15 Apr 2003 11:01 AM
2 Staven: я то про баг в КДЕ говорил... есть готовый ПДФ который можно модифицировать под свои задачи... проверен под Линуксом. Про возможность в принципе мне сие заявил Skull - один из участников работы над КДЕ (координатор по локализации)
	СтранниК 15 Apr 2003 3:24 PM
2PTO то про баг в КДЕ говорил... есть готовый ПДФ который можно модифицировать под свои задачи... проверен под Линуксом. Про возможность в принципе мне сие заявил Skull - один из участников работы над КДЕ (координатор по локализации) === А если я Window Maker пользую, тогда что? А вместо sendmail другой транспортный агент? Да, подобной замены - валом. Предложите чем можно заменить под Win, тот же Exchange? Ну про замену десктопа наверно глупый вопрос. C удовольствием послушаю.
	PTO - ptokgb.ru 15 Apr 2003 3:31 PM
2 СтранниК: ну и? в Виндах можно стрелять кучно, а в случае с линуксом на точность... КДЕ использует большинство десктопных _юзеров_ ибо приложений есть хоть чуть-чуть под него заточенных. Вам нужен почтовый сервер/клиент под Винды, но не Эксчендж?! Да их ДО ФИГА самых разных... от помянутого БАТа до мозиллы... на стороне сервера от сендмейла, домино до коммунигейта
	qwerty 15 Apr 2003 8:57 PM
Разрешите напомнить притчу про кота, выловившего всех мышей в один день... Больше багов, хороших и плохих! У нас же больше работы будет. А значит и денег.
	Skull - sibskullmail.ru 16 Apr 2003 4:38 AM
2PTO: СтранниК прав. В Linux такой зоопарк, что затачиваться подо что-то одно себе дороже. К тому же KDE сам распознаёт и помещает в меню программы типа xpdf, которые этой баги не имеют. Почтовый сервер/клиент.. БАТ... И сколько долей процента это угробище используют? :)
	Павел 16 Apr 2003 10:27 AM
Не гонИте на Линукс, господа! Проблема не в том, что в программах есть ошибки. Они были, есть и будут всегда и всюду. Вопрос в том, насколько в той или иной системе можно минимизировать последствия потенциальной ошибки. Так вот, в системе типа UNIX это делается достаточно просто и уже имеющимися, стандартными для системы средствами. А в Виндовозе каждый раз заново изобретают велосипед с новыми глюками. Вместо того, чтобы решить вопрос раз и навсегда, например, отключив нафиг любое "активное" содержание в почтовом клиенте.
	Chulkov - petrchulkov.net 16 Apr 2003 10:43 AM
2Павел : любое "активное" содержание в почтовом клиенте microsoft outlook (не путать с outlook express) в последних версиях офиса отключено по-умолчанию... а вот про велосипеды (да ещё и с глюками) будет интересно послушать..
	СтранниК 16 Apr 2003 10:56 AM
2PTO Вы выдаете желаемое за действительное. Сейчас большинство дистров которые я видел предлагают не по умолчанию, как вы изволили выразится, а на выбор что ставить. Есть достаточно народа юзающего например twm, не потому что у него функциональность офигенная, а потому что он простой. "Вам нужен почтовый сервер/клиент под Винды, но не Эксчендж?! Да их ДО ФИГА самых разных... от помянутого БАТа до мозиллы... на стороне сервера от сендмейла, домино до коммунигейта " И с той же самой функциональностью? Я вот смотрю у нас в компании боятся ставить открытым Exchange,странно почему? Спецы все сертифицированные. Все как полагается? Далее вы тут про sendmail распространялись. Он кстати появился задолго до Linux и не вина Linux сообщества что в нем находят дырки. Их находят везде. Не нравится использовать sendmail пользуйте exim ( люди досконально знающие sendmail большая редкость). Про Самбу. Не так давно примерно пол-года назад у одного провайдера предоставляющего массовую услугу dial-up возникла проблема - Клиенты начали массово жаловаться что кто-то пользуется их экаунтами, грубо говоря крадет пароли для доступа. Догадайтесь с двух раз какой ОС это было? Проблема оказалась в том, что почти у всех пользователей все было доступно через СFS ( так кажется это называтеся под Виндой). Настоятельные просьбы провайдера к пользователям ничем не увенчались. Было принято на уровне провайдера закрыть доступ по соответствующим портам ( СFS), после чего кражи прекратились. Так про какие мелкие неприятности вы там говорили? Теперь про Linux: SMB сервис по умолчанию ( и не только он) опущен и это хорошо. Да требуются усслия со стороны пользователя на подьем и включение этих сервисов, но это хоть какая-то гарантия что пользователь прочтет доку и хоть немного разберется. Про вирусы: Вы ничего не путаете? Да есть вирусы-червяки, не без этого. Они есть везде. А как насчет macro-вирусов? Вы слышали хоть про один под Linux? Я нет еще, а ведь Linux-у уже более 5 лет? Жду ваших ссылок на макро-вирусы для Linux. Можно прислать ссылки на вирусы типа MBR. За 5 лет в винде каких чудес только не было, ну про работающие "кросплатформенные вирусы" я вообще молчу- типа написано под ДОС, но будет работать и под NT. Так к чему я это? А к тому что при одних и тех же недостатках , возникает вопрос зачем платить за одинаково глючный софт ?
	Павел 16 Apr 2003 11:06 AM
2 Chulkov >>> в последних версиях офиса отключено по- >>> умолчанию... Я думаю, оно должно было быть ВООБЩЕ отключено, без вских умолчаний, с самой первой версии. При этом половина всех существующих вирей вообще бы не возникла. В 99% случаев в почтовом клиенте никакой скриптинг или java не нужны вовсе. А велосипеды? Элементарно. Пример навскидку. Года три назад, если ошибаюсь, MS "изобрел" симлинки для файловой системы. Но до сих пор так и не научился эффективно их использовать, например, для контроля версий DLL. Вместо этого, DLL-hell пытаются лечить очередным кривым велосипедом - (даже двумя) - 1) Электронной подписью всех dll и ехе-шников 2) "Самовосстановлением" измененных системных файлов. Это вместо того, чтобы наладить прозрачный и толковый контроль за, собственно, процессом изменения, обновления и использования системных файлов.
	ggv 16 Apr 2003 12:17 PM
не так давно тут вот типа сказали/спросили - >Я правильно понимаю из вашего рассказа, что в вашей сети открыты наружу все >порты или, что в ней до сих пор Сламмер гуляет? я уж думал, что это все >пережили еще месяц назад... ура вашим админам! Ну там вдаваться в потробности не будем ( но легко могём по желанию) где чья сеть и что как, просто речь шла о том что клиент потребовал доступ в инет (прямой) и получил его, и в момень установа win2000/mssq/cisco_callmanager был жестоко отхачен, после чего переведен принудительно в DMZ. Так вот речь о том что все соляры у нас _напрямую_ в инете. Без всяких DMZ. Это к тому что все порты наружу открыты. И инсталирую я их издалека, удаленно, прямо в инете. И смысла переводить их в DMZ нет никакого. Я не к тому что такого эфекта нельзя достигнуть на win - может и можно, и наверняка спецы здесь шас напишут что у них win напрямую в инете. Но факт есть факт - мужика отымели в процессе инсталяции его барахла... Надо было мне ему советовать устанавливать все, наверное, с выдернутым сетевым шнуром, все настроить/закрыть, после чего подсоединять сеть.
	СтранниК 17 Apr 2003 6:02 PM
Это просто песня. http://www.viruslist.com/index.html?tnews=1176714&id=213524 9
	glassy 18 Apr 2003 11:25 AM
РТО?
	Vitaliy 18 Apr 2003 2:17 PM
Вот будет MS ставить JRE от SUN и проблем будет меньше (но они все равно будут) ;)