Microsoft arbejder nu på "skjold" mod Windows SMB exploit

Microsoft har nu anerkendt SMB sårbarheden som blev opdaget den 7. september, og nu hvor firmaet Immunity offentligjorde angrebs kode til brug for deres penetrations testing software CANVAS, har Microsoft nu i fredags den 18. september, bekræftet at den metode som Immunity beskriver, vil have den forventede effekt på Microsoft 32 bit versioner af Vista og Windows 2008 server. Man forventer at angrebene vil starte i den kommende uge.

På  Microsoft Security Research og Defense site, følger men løbende udviklingen, og der er nu en "point-&-klik" løsning under navnet Fix-it, hvor ved et klik kan de-aktivere SMBv2 eller re-aktivere den igen, så hvis du ønsker en løsning, så gå til denne site med  Microsoft SMBv2 exploit  løsningen. 

Du kan også følge denne link:

http://blogs.technet.com/srd/archive/2009/09/18/update-on-the-smb-vulnerability.aspx

Historien om hacking.. hvem var den første?

og historien fortalt frem til nu, om udvalgte hacks fra fra 1960'erne og fremad, du kan læse om The history of hacking 

Exploit mod Windows SMB2 protokollen

Det blev kendt 8. september at der findes et 0-day exploit mod SMB2 protokollen. Nyere Windows versioner understøtter denne v.2 af SMB protokollen, der især anvendes til forbindelse mellem klienter og netværksdrev i Windows miljø. Sårbarheden rammer versioner af Windows Vista, Server 2008 og Windows 7.

I første omgang troede man at det kun var en denial-of-service sårbarhed, men siden er det blevet klart at den osse kan anvendes til remote kodeafvikling. Nu har det amerikanske sikkerheds firma Immunity inkluderet kode til et remote exploit i et sikkerhedsprodukt de sælger til deres kunder, så det er et spørgsmål om tid før angrebskode generelt er i cirkulation. Der er ikke nogen rettelse fra Microsoft endnu, men Microsoft har udsendt et advisory der fortæller at man kan beskytte sig ved at blokere for trafik mod port 139 og 445 og/eller disable SMB2 i registry.

http://isc.sans.org/diary.html?storyid=7141

http://www.microsoft.com/technet/security/advisory/975497.mspx

Kritisk sårbarhed i Altiris

Det er blevet kendt at der findes en kritisk sårbarhed i Symantec Altiris Deployment Solution, hvor en ActiveX kontrol gør det muligt at en ondsindet websted kan downloade og afvikle kode på en maskine der har produktet installeret.  Der er oprettet et modul i Metasploit værktøjet der kan ramme sårbarheden.

http://www.vupen.com/english/advisories/2009/2617

Sårbarhed i Apple QuickTime

Apple udsendte 9. september version 7.6.4 der retter flere sårbarheder hvor ondsindet indhold der afvikles med QuickTime kan føre til kodeafvikling.

http://support.apple.com/kb/HT3859

Cisco fixer TCP denial of service bug

Cisco har rettet en sårbarhed i forskellige produkter,  hvor ondsindede TCP pakker kan medføre denial-of-service,  bl.a. er IOS og Linksys berørt:

http://www.cisco.com/warp/public/707/cisco-sa-20090908-tcp24.shtml

Sikkerhedsopdatering af Firefox

Firefox 3.5.3 er udsendt med rettelse af 3 kritiske sårbarheder, bl.a. en fejl med memory corruption, der kan give ondsindet kodeafvikling. Der er også lavet fejlrettelse i forbindelse med kryptografiske tokens, hvor man i tidligere versioner kunne indlægge ondsindede moduler, uden at der kom advarselsmeddelelser fra PKCS11 interfacet, således at sikkerheden i forbindelse med PKCS11 kunne kompromitteres lydløst.

http://www.mozilla.org/security/announce/

Microsoft september 2009 sikkerhedsopdatering

Microsoft har frigivet 5 hotfixes den 8. september 2009. Opdateringerne vedrører både klienter og servere og 4 hotfixes vedrører stort set alle Windows platforme.  Alle 5 hotfixes er kritiske og bør installeres snarest.

Detaljerede oplysninger fås ved at følge linket til Microsofts bulletin. Det kan være nødvendigt at skifte nationalitet hvis bulletinerne ikke er på det danske website.

	Emne og evt. berørt software	Risiko	Kategori
MS09-045	Sårbarhed i Jscript engine. Microsoft Windows mange versioner.	Risko for kodeafviklingfra en ondsindet webside eller fil.	Kritisk
MS09-046	Sårbarhed i DHTML Editing ActiveX. Microsoft Windows mange versioner.	Risko for kodeafvikling fra en ondsindet webside.	Kritisk
MS09-047	Sårbarhed i Windows Media format. Microsoft Windows mange versioner.	Risko for kodeafvikling fra en ondsindet ASP eller MP3 fil.	Kritisk
MS09-048	Sårbarhed i Windows TCP/IP. Microsoft Windows mange versioner.	Risko for kodeafvikling fra ondsindede netværkspakker.	Kritisk
MS09-049	Sårbarhed i Wireless LAN autokonfig. Microsoft Windows Vista og Server 2008.	Risko for kodeafvikling fra en ondsindet Wireless LAN pakke	Kritisk

Kritisk sårbarhed i Open Office

Der er opdaget 2 kritiske sårbarheder i Open Office, der kan medføre kodeafvikling fra en ondsindet Word fil. Benytter man Open Office skal man opgradere til version 3.1.1 der løser problemet

http://secunia.com/secunia_research/2009-26/

http://secunia.com/secunia_research/2009-27/

0-day angreb mod IIS FTP server

"Kingkope" har udsendt koden til et exploit der angiveligt fra Internettet kan kompromitteret Microsofts FTP server der indgår som en del af Internet Information Server 5 og 6.  Koden der er offentliggjort logger sig ind som anonymous med ftp og udnytter et overflow i FTP SITE kommandoen. Angrebskoden opretter en Windowsbruger med et navn og password som angriberen kender, men koden kan ændres til at udføre andre aktivitetet. Der er endnu ikke mange oplysninger og heller ikke endnu kommentarer fra Microsoft, men vi anbefaler at deaktivere anonym adgang til IIS FTP servere fra Internettet indtil flere oplysninger foreligger.

http://isc.sans.org/diary.html?storyid=7039

Update on september 1, 2009 at 8:59 by Ole Schmitto, Adm. direktør

Hvis man er i tvivl, om man har en sårbar FTP server, eller andre sårbare enheder, vil en sårbarheds scanning afsløre dette, så bestil enten en 14 dages test konto, eller kontakt Ole Schmitto

Qualys, som er den partner eSec anvender, har netop frigivet en opdatering af deres sårbarheds scannere, så den nævnte sårbarhed testes.

Update on september 1, 2009 at 21:52 by Ole Schmitto, Adm. direktør

Microsoft bekræfter nu at der er en sårbarhed

Update on september 2, 2009 at 9:28 by Ole Schmitto, Adm. direktør

Micosoft's svar på sårbarheden http://www.microsoft.com/technet/security/advisory/975191.mspx