Все новости от 11 февраля 2004 г.

Microsoft предупреждает о широко распространенном дефекте Windows

Во вторник софтверный гигант выпустил поправку для сетевого ПО, присутствующего во всех компьютерах под Windows NT, Windows 2000, Windows XP и Windows Server 2003. Если оставить данную уязвимость без внимания, червь может быстро распространиться по интернету и вызвать эпидемию, подобную прошлогодней атаке MSBlast.

«На этот раз больше векторов атаки и потенциальных жертв», — сказал Марк Мейфрет, главный специалист фирмы eEye Digital Security, которая предупредила Microsoft об уязвимости более полугода назад.

Это уже второе за месяц предупреждение Microsoft о серьезной ошибке. Компания проводит новую политику обнародования информации об уязвимостях и выпусках пачей: теперь она делает это во второй вторник каждого месяца, за исключением тех случаев, когда о критической ошибке надо сообщить немедленно.

На прошлой неделе компания предупредила об ошибке в Internet Explorer и выпустила поправку. Во вторник Microsoft объявила о трех новых уязвимостях: одной критической и двух менее опасных. Одна из них влияет на компьютеры с установленным ПО Windows Internet Naming Service, а другая относится к Microsoft Virtual PC для платформы Мас.

Последний дефект скрыт в реализации Microsoft базового сетевого протокола Abstract Syntax Notation One, или ASN.1. Этот код используется многими Windows-приложениями, и если оставить его неисправленным, то любая программа, вызывающая этот код, может стать точкой входа в операционную систему для злоумышленника. Как следует из рекомендаций Microsoft, уязвимость позволяет удаленному пользователю получить контроль над компьютером. Причем воспользоваться этой лазейкой гораздо проще, если у атакующего есть доступ к локальной сети. По словам Стивена Тулуза, менеджера программы безопасности Microsoft security response center, ошибка очень напоминает ту, которая в августе 2003 года позволила распространиться вирусу MSBlast.

ASN.1, созданный Xerox и стандартизованный в 1984 году, представляет собой способ описания сетевых данных и протоколов, пояснил Банкрофт Скотт, президент компании OSS Nokalva, разрабатывающей инструменты на базе ASN.1. «Двадцать лет назад, когда люди хотели передавать данные, они часто изобретали колесо, — сказал он в январском интервью по поводу ASN.1. — Тогда еще не существовало стандартного способа описания данных, которые вы намерены передать».

ASN.1 изменил это положение, позволив программистам описывать данные на абстрактном языке. Однако разработчики инструментов для создания сетевых протоколов и программного обеспечения для работы с такими описаниями часто не думали о том, что злоумышленники могут воспользоваться этим каналом для взлома компьютеров через интернет, сказал Скотт. «Технологии, подобные Windows, сами не используют ASN.1, тем не менее становятся уязвимыми», — добавил он.

Широкое распространение ASN.1 привело к тому, что многие специалисты по безопасности называют этот протокол «монокультурой» — настолько однородной популяцией, что единственная угроза может вызвать ее гибель. Последняя тенденция в мире компьютерной безопасности заключается в признании того факта, что уязвимости в распространенных технологиях могут приводить к обширному поражению. Ошибка в реализации ASN.1 стала причиной уязвимости протокола Simple Network Management Protocol, широко применяемого способа связи между сетевым оборудованием.

Майфрет из eEye подверг Microsoft критике за медлительность в подготовке пача. «Двести дней на то, чтобы исправить такое, — это форменное безобразие», — заявил он.

Тулуз из Microsoft объясняет это трудностями, связанными с широким распространением технологии. «ASN.1 чрезвычайно глубоко внедрен в Windows, — говорит он. — Нам пришлось оценить несколько разных аспектов влияния такого хирургического вмешательства. В данном случае нужно было действовать очень аккуратно». 

 Предыдущие публикации:

 В продолжение темы:

Обсуждение и комментарии

	Прохожий 11 Feb 2004 12:05 PM
Удалённый рут на все версии винды ? Чудэсно ... Уязвимость в каждой третьей софтине , имеющей несчастье юзать уязвимую библиотеку ? Прэлэстно .. Похоже некрософтовская программа "Трастворт компьютинг" начинает приносить первые плоды ... Муахахаха ...
	SlvUn - slvunmail.ru 11 Feb 2004 1:11 PM
2Прохожий: Похоже некрософтовская программа "Трастворт компьютинг" начинает приносить первые плоды Не знаю - более полугода выпускать исправление к ошибке - это не совсем "Трасворт"
	Троль 11 Feb 2004 1:51 PM
2 SlvUn Скажи спасибо что еще выпустили
	NM 11 Feb 2004 2:31 PM
ждем нового вируса :-) еще более интересного ... жаль что сейчас все вирусы гуманны и не вытирают за собой например MBR ... или BIOS .... а надобы надобы ....
	Ёжи 11 Feb 2004 2:49 PM
A win98 не уязвима ;-))))
	Хех 11 Feb 2004 3:10 PM
Луче w95!
	C3Man - semdiyahoo.com 11 Feb 2004 5:06 PM
гы-гы
	qwas 11 Feb 2004 5:31 PM
>В то же время Микрософт как-то не взломали в 2003 году, хотя его сервера используют Windows. Не-а. Если Вы про внутреннюю сеть, то ее ломали, в тч ms-blast там порезвился, а если про веб-сервера, то там все грамотно сделано - IIS недоступен снаружи, люди работают с кэшем выложенным на BSD сервер
	Alexander S. 11 Feb 2004 5:54 PM
>а если про веб-сервера, то там все грамотно сделано - IIS недоступен снаружи, люди работают с кэшем выложенным на BSD сервер. Странно: telnet www.microsoft com 80 HEAD / HTTP/1.0 HTTP/1.1 200 OK Connection: close Date: Wed, 11 Feb 2004 14:53:11 GMT Server: Microsoft-IIS/6.0 P3P: CP='ALL IND DSP COR ADM CONo CUR CUSo IVAo IVDo PSA PSD TAI TELo OUR SAMo C NT COM INT NAV ONL PHY PRE PUR UNI' Content-Length: 39973 Content-Type: text/html Expires: Wed, 11 Feb 2004 14:53:11 GMT Cache-control: private
	C3Man - semdiyahoo.com 11 Feb 2004 6:21 PM
так их гадов Саньок...по голове...сейчас тебе раскажут что энто всё происки и что на самом деле это бздя...
	Федор 11 Feb 2004 6:35 PM
2 qwas И кто вам этот бред рассказал только? В бане не рассказывайте - шайками забьют.
	NM 11 Feb 2004 7:50 PM
нет ребята это называется реверс прокси .... матчасть надо учить ... :-) у меня в одной конторе за такой штукой кстати производства фирмы новелл живет IIS 3.0 и ничего еще никакая шняга не поломала :-)
	NM 11 Feb 2004 7:51 PM
а отвечает чесно типа я IIS 3.0 :-) вот ровно как в примерчике :-)
	какая разница 11 Feb 2004 8:16 PM
Выпускать нормальное ПО надо, а не патчить каждый день!!!!
	да никакой разницы 11 Feb 2004 8:18 PM
Много чего надо нормально делать, дак не делает нихто!!!
	SlvUn - slvunmail.ru 11 Feb 2004 8:27 PM
2 Alexander S.:>Что же касается полугода на выпуск патча- то это конечно плохо. Странно, что никто не хакнул никого за это время и червя не сделал- или это не так просто как кажется. Не знаю - я так понял, что взломы по этой уязвимости были. Просто команда которая это обнаружила - до выпуска патча никому кроме МС информацию не сообщала, потому взломы не были поставлены на поток. Вообще будем надеяться, что народ поумнел, и ситуация с Blast'erom не повторится. 2Федор: Бред - странно, МС сама признавала что бластер прыгал у них во внутренней сети.
	Alexander S. 11 Feb 2004 8:52 PM
2 NM, Насчёт матчасти: Согласно указанному мною HTTP заголовку запрос от меня дошёл лично до сервера Микрософт, и вернулся мне обратно лично от сервера Микрософт с рекомендацией всем промежуточным инстанциям документ не сохранять и не кешировать. Так что proxy там, firewall, Webcache или ещё какое мудрёное заграничное слово- а я побывал в гостях у Микрософта, дав команду telnet www.microsoft.com 80 Хакер точно так же мог побывать там же, и хакнуть сайт через buffer overflow. Кроме того, если вы обратите внимание на то, что я этому серверу сказал: HEAD / HTTP/1.0 то становится странно как какая-либо 'reverse proxy' угадала к кому конкретно серверу я собираюсь обратиться: www.microsoft.com или, скажем, support.microsoft.com Но это уже детали. Той самой матчасти которую надо учить очень внимательно, а не по верхам. Разумеется, можно особо извращённым способом, вопреки всяким RFC, HTTP протоколу, директивам кэширования устроить всё так, что Apache на BSD будет прикидываться IIS6. Можно, и Васи Пупкины так делают, но сделай такое Микрософт- да разве бы не кричали об этом на каждом углу? Как, к примеру, кричали когда MS действительно спрятался на время за серверами Linux от AKAMAI чтобы защититься от DDoS. Ага, закричит внимательный читатель, а IIS от DDoS не защитит? Верно, умница ты мой, не защитит. Никто не защитит: вот SCO вроде свой сайт на Linux/Apache держит, а постоянно в ж... сидит и доступиться к ним можно через день.
	NM 11 Feb 2004 9:32 PM
хм у вы давно самито матчасть изучали ... ? на реверс прокси есть разные политики фильтры и прочее + то что вы там телнетом наковыряли в полне может отдавать реверс прокси он не более чем посредник ... но посредник достаточно умный чтобы предотвратить падение реального сервера от шквала запросов ...а поправка "с рекомендацией всем промежуточным инстанциям документ не сохранять и не кешировать" выглядит полным бредом :-) на фоне того что именно политики реверс прокси решают пропускать такие запросы от юзера или нет ... накчто батенька не влезай ато убъет :-) и кстати никакого апача на реверсе быть не может по определению .. это другое понимаете ? по поводу этого всего имеется RFC иначе не жилобы это в сетях ....что касается защиты от дос ... от перегрузки канала да не защитит а вот от шквала запросов еще как защитит ... были случаи когда например Volera Excelerator настолько быстро отвечал флудящим узлам что те падали ... пример использлвания таких систем совсем рядом ... cnn.com ...
	Budrow - ssnsys.by 11 Feb 2004 9:38 PM
Так их Санёк, а то эти линуксиды недадавленные надоели здесь тусоваться, как мухи на мёд слетаются, только бы МС обгадить. На самом деле, я думаю, что как только Линуксом начнут реально пользоваться хотя 50% чайником во всём мире, вот тут та и начнётся велелуха, т.е. и вирусы начнут под линух писать серьёзные и трубит об обнаруженных дырах будут на каждом углу. А так они (линуксоиды) просто завидуют монстру, как завидует Моська слону. Но ничего всё еще впереди, и да подхватит Линукс победное знамя и ... им же и накроется. А то что и на Винде можно бронь навернуть, то это правда при хорошем админе и .... овцы цэлы. Просто кроме надежд на винду надо еще и свои мозги включать.
	NM 11 Feb 2004 9:39 PM
AKAMAI это всемирная сеть доставки контента ... она никого за собой не прячет .... когда вы работаете через AKAMAI вам чесно об этом говорят ... очень кстати приятно потомучто сервер кэша выбирается наиболее близкий и быстрый жаль что микрософт от этого отказалась ...
	Alexander S. 11 Feb 2004 9:58 PM
Предупреждал же меня C3Man... >и кстати никакого апача на реверсе быть не может по определению .. Мы с вами, похоже, пользуемся раными определениями. Вот вам такое, с сайта о конфигурации Апача: "Apache can be configured in both a forward and reverse proxy configuration". Кстати, не удивляйтесь если в вашей Новелловской прибамбасе кастрированный Апач бежит.:) >на фоне того что именно политики реверс прокси решают пропускать такие запросы от юзера или нет Какие-такие? Речь-то, изначально, шла о хакерах! Хакеру достаточно послать один "запрос" в минуту или даже в 10 минут, чтобы положить сервер страдающий от buffer overflow. Ну разве что НИ ОДИН из запросов не доходит до сервера Микрософта. Так, что ли? Если я помню верно, то динамические странички дают сервера Микрософта, статические объекты (картинки, и пр.) кэшируются на серверах AKAMAI. Так что мой запрос на / вернул мне динамически сгенерированную страничку на 30 кило лично от Микрософта. Или, по-вашему, динамические страницы reverse proxy генерирует? а как, к примеру, тогда результаты поиска в MS KB? Тоже reverse proxy?
	torvic 11 Feb 2004 10:05 PM
> жаль что микрософт от этого отказалась ... А что МС разве отказались от услуг AKAMAI?
	Alexander S. 11 Feb 2004 10:07 PM
>А что МС разве отказались от услуг AKAMAI? Нет. Статические компоненты продолжают кешироваться Акамаем. Товарищ плавает в матчасти под названием WebCache.
	Alexander S. 11 Feb 2004 10:16 PM
В продолжение: а динамически создаваемые страницы Микрософт может как напрямую раздавать, так и через AKAMAI. А через AKAMAI он может раздавать их как динамически, так и с кешированием на несколько минут. Кеширование на несколько минут позволит уменьшить удар от DDoS: в самом деле, если скажем Акамай держит копию / и раздаёт её в течение 5 минут со своих 14000 серверов по всем миру, то значит в течение этих 5 минут сервер Микрософта оставляют в покое. Вирус пытающийся убить Микрософт миллионами запросов / в секунду будет на самом деле убивать 14000 серверов Акамая, многие из них останутся в живых и заходить к Микрософту за обновлениями / раз в 5 минут, не чаще.:) Однако Акамай следует RFC и как всякий уважающий себя WebCache не играется с настройками кеширования от балды. Поэтому, если на запрос страницы / Акамай выдаёт её и говорит: "а хренушки вам её кешировать, не положено!"- то он получил эту инструкцию от сервера Микрософт. Что значит- он послал мой запрос прямиком на сервер Микрософта и получил ответ оттуда. Если бы страница / была закеширована Акамаем, то HTTP заголовок содержал бы инструкцию "кешировать можно" и разрешённый срок кеширования. Этот срок равен установленному Микрософтом минус время которое страница провела в кэше Акамая. Вот так то.
	NM 11 Feb 2004 10:17 PM
товарищ зациклен на микрософте ? :-)
	NM 11 Feb 2004 10:20 PM
ну вот наконецто вошли в правильное русло ... опуститесь пониже на несколько десятков строк и почитайте разве не это я пытался вдолбить вам в самом начале беседы :-)
	NM 11 Feb 2004 10:24 PM
кстати почему бы компании производящей собственную систему доставки контента не использовать её по всему миру для работы пользователей со своими сайтами .... я имею в виду MS ISA ... ну кто мне напомнит сколько десятков запросов в секунду она может переварить ? :-)))) 20-30 ? а может целых 50 :-)))
	Alexander S. 11 Feb 2004 10:26 PM
А вот, NM, и вам с вашего линка: "The Web server accelerator handles the requests, accessing the origin Web server only when needed objects are not cached." По-моему это именно я и говорил: страница / не закеширована! Это будет не акселератор а идиот если ему сервер говорит- кешируй, а он всем раздаёт с криками "кешировать нельзя!" Попадаются такие идиоты, но на более мелком уровне. Это всё равно что на себя траффик лишний накликать, по 30 кило за хит. Так что не акселератор мне / выдавал, а лично сервер Микрософта. >а что касается апача так у него есть встроеный реверс прокси .. достаточно кривой и медленный ... Таки есть! А говорили же, что "никакого апача на реверсе быть не может по определению". Глядишь, к утру согласитесь, что я побывал в гостях у IIS6 Микрософта набрав telnet www.microsoft.com 80
	NM 11 Feb 2004 10:36 PM
блин так никто не против ... если админ реверса вам это разрешил конечно можно :-) но вы забываете о фильтрах запросов .. вот например как эти системы рубят кодеред и нимду ... http://support.novell.com/cgi-bin/search/searchtid.cgi?/1008 0772.htm
	NM 11 Feb 2004 10:41 PM
а так это делает бордер менеджер [Virus Pattern Configuration] EnablePatternAutoUpdate=1 MaxNoOfVirusPatterns=128 NoOfVirusPatterns=28 PatternSize=16 PatternStartOffset=1 VirusPattern0=scripts/..%252f. VirusPatternoffset10=0 VirusPatternvalue10=0 VirusPatternoffset20=0 VirusPatternvalue20=0 VirusPatternorigLength0=57 VirusPattern1=scripts/..%c1%1c VirusPatternoffset11=0 VirusPatternvalue11=0 VirusPatternoffset21=0 VirusPatternvalue21=0 VirusPatternorigLength1=58 VirusPattern2=scripts/..%c0%2f VirusPatternoffset12=0 VirusPatternvalue12=0 VirusPatternoffset22=0 VirusPatternvalue22=0 VirusPatternorigLength2=58 VirusPattern3=scripts/..%c0%af VirusPatternoffset13=0 VirusPatternvalue13=0 VirusPatternoffset23=0 VirusPatternvalue23=0 VirusPatternorigLength3=58 VirusPattern4=scripts/..%%35c. VirusPatternoffset14=0 VirusPatternvalue14=0 VirusPatternoffset24=0 VirusPatternvalue24=0 VirusPatternorigLength4=57 VirusPattern5=scripts/root.exe VirusPatternoffset15=0 VirusPatternvalue15=0 VirusPatternoffset25=0 VirusPatternvalue25=0 VirusPatternorigLength5=33 VirusPattern6=MSADC/root.exe?/ VirusPatternoffset16=0 VirusPatternvalue16=0 VirusPatternoffset26=0 VirusPatternvalue26=0 VirusPatternorigLength6=31 VirusPattern7=d/winnt/system32
	SlvUn - slvunmail.ru 11 Feb 2004 10:46 PM
2Alexander S.:Без всякой подколки и привязки к содержанию предыдущих постингов, просто интересно. Может ли криво настроенный реверс прокси на запрос "не кэшировать" выдавать тем не менее кэшированный ответ? И еще уточнение "реверс прокси" - получается его основаня функция висеть над сервером генерирующим сложную динамику и отдавать ее как статический контент, переодически обращаясь на головной сервер за обновлением?
	Alexander S. 11 Feb 2004 10:47 PM
2 NM, Это хорошо, но для IIS5 есть подобная прибамбасина да ещё и, кажется, бесплатная. А в IIS6, даже и не помню, встроенная что ли, а если нет- то как в IIS5. Да и самому можно фильтры написать для IIS, большого ума не надо если знаешь C++ и где найти документацию. Я это к тому, что можно и акселератор поставить, а можно и другим путём. Что касается IIS3, то наверное без акселератора не обойтись, но IIS3 ведь очень старая модель. Linux kernel 2.0 тоже наверное не долго в открытом виде в сети протянет.:) А насчёт "зайти в гости к Микрософту" я был такой настойчивый, потому как изначально отвечал на "если про веб-сервера, то там все грамотно сделано - IIS недоступен снаружи, люди работают с кэшем выложенным на BSD сервер". А тут вы выступили, и я решил- в ту же тему.:) И решил прояснить вопрос, так так и IIS6 "доступен снаружи" и Акамай не на BSD работал когда я в последний раз проверял.
	Alexander S. 11 Feb 2004 10:52 PM
2 - SlvUn >Может ли криво настроенный реверс прокси на запрос "не кэшировать" выдавать тем не менее кэшированный ответ? Может. Если броузер сказал "дай не кешированный документ" (вы нажали Ctrl-F5 в IE), все кеши должны этот запрос передать лично исходному серверу. Должны согласно RFC. Однако, никто вам не мешает взять исходники Squid и лично ручками прибить логику обращения к исходному серверу, код собрать и получить кривизну. Обратный процесс: веб сервер говорит прокси "не кешировать никогда". Если прокси кладёт на это, то документ может и закешироваться. Опять-таки, или из-за кривых настроек, или из-за специально изменённого кода. Разумеется, опять вопреки RFC. >И еще уточнение "реверс прокси" - получается его основаня функция висеть над сервером генерирующим сложную динамику и отдавать ее как статический контент, переодически обращаясь на головной сервер за обновлением? А на это пусть NM ответит, ему эта тема нравится- а то всё я да я. Но если он не ответит- я постараюсь разъяснить.:)
	SlvUn - slvunmail.ru 11 Feb 2004 11:10 PM
2Alexander S.:Сэнькс, вопрос интересовал именно в свете RFC. Мне в общем интереснее всего было бы узнать про следующий случай: Идет запрос на какой либо URL. Реверс прокси ловит этот запрос, переадресовывает его серверу, ответ кладет в свой кэш, ответ возвращает клиенту. Идет следующий запрос, где сказано "не кэшировать" на тот-же URL. Реверс обращается к серверу - тот лежит. Имея в "свежий кэш" запрошеного ресурса может ли он согласно RFC отдать его клиенту, или строго Not Response?
	Alexander S. 12 Feb 2004 12:42 AM
RFC что дышло, как повернёшь- так и вышло.:) Поэтому ограничимся только рассмотрением отдельно взятого RFC 2616, описывающего протокол HTTP/1.1 Разумеется, если есть иная редакция протокола (другой номер RFC) или RFC для HTTP/1.0, то всё может быть по-другому. Особенно отмечу HTTP/1.0- поскольку многие знакомые мне WebProxy и WebCache ограничиваются поддержкой только 1.0 из-за сложностей полной поддержки 1.1. Но как бы там ни было, мы смотрим только вперёд, поэтому RFC2616 и HTTP/1.1. Согласно этому RFC, секция "13.1.1 Cache Correctness": If the cache can not communicate with the origin server, then a correct cache SHOULD respond as above if the response can be correctly served from the cache; if not it MUST return an error or warning indicating that there was a communication failure. То есть, согласно этому параграфу ответ на ваш вопрос: не может он отдать кэшированный ресурс в данном случае- так как клиент конкретно потребовал некешированный документ. Читаем дальше, секция "13.1.5 Exceptions to the Rules and Warnings": "In some cases, the operator of a cache MAY choose to configure it to return stale responses even when not requested by clients. This decision ought not be made lightly, but may be necessary for reasons of availability or performance, especially when the cache is poorly connected to the origin server. ...a cache SHOULD NOT return a stale response if the client explicitly requests a first-hand or fresh one, unless it is impossible to comply for technical or policy reasons." Отсюда вывод: решайте сами, является ли недоступность сервера техническим оправданием. Разумеется, всегда можно заявить, что политика данного конкретного Веб-хоста такова, что лучше юзеру возвращать страницу с истекшим сроком годности, чем "404-Not Found" или аналогичную гадость. Вот тогда против "политики" не попрёшь. Если нельзя, но очень хочется- то можно.
	Федор 12 Feb 2004 12:50 AM
2 SlvUn Я писал по поводу BSD. А Бластер - штутка такая, что ее любой мобильный пользователь с полей притащить может. Но это не значит, что внутреннюю сеть хакнули.
	Alexander S. 12 Feb 2004 12:51 AM
Чтобы не гнать волну на RFC: когда усё работает, RFC даёт вполне однозначные ответы на поставленные вопросы. Как с кэшем: если цепочка клиент-кэш-другой_кэш-вебсервер налажена, ответ однозначен. Когда же возникают проблемы и сбои, RFC начинает советовать по принципу "спасайся кто может... и как может".
	NM 12 Feb 2004 8:48 AM
главная идея тут в том что если все постоить по уму то поплохеть корпоративному вебу может только от HTTP запросов ... не более того !!! ито разрешенных политиками реверс прокси причем на реверс еще и автоматически обновляемый антивирус завернуть :-) причем реверсов может быть море они могут стоять в кластере такчто тут бомби не бомби ничего не получится :-) вся остальная дрянь типа переполнения буфера TCP и прочей херни тут не пролезут ваще все можно забарикадировать кроме 80 порта ито на реверсе :-) на реальном вебе можно все посадить на 192.168.1.1:12345 :-) но это уже не GNU и не Open Sourse это у же другая опера :-)
	C3Man - semdiyahoo.com 12 Feb 2004 5:33 PM
спасибо товарисчиии! много полезного узнал.
	Владимир Веремко 15 лет - veremkomail.nnov.ru 8 Jun 2006 1:20 PM
Я разработал небольшую страничку и хочу опубликовать в интернете,чтобы на неё мог зайти любой человек. Как это сделать с помощью системы Windows или far. (Страничка разрабатывалась с помощью Microsoft Office /Front Page)