Kritické záplaty

Díra v DirectShow umožňuje vzdálené spuštěné kódu

Přes dva roky stará záplata díry v DirectX se dočkala svého nástupce, který ji plně nahrazuje. V DirectShow se totiž objevila další dost vážná trhlina, která může způsobit vzdálené spuštění kódu, a to docela snadno. Stačí například, aby web útočníka předstíral, že bude spouštět video ve formátu AVI, zatímco onen přehrávatelný soubor bude mezitím speciálně upraven tak, že dojde k přetečení bufferu a následně spuštění zákeřného kódu, s jehož pomocí může útočník ovládnout systém. Přitom platí, že útočníkův kód neudělá větší škodu, než by mohl udělat sám uživatel, kód se tedy spouští s právy aktuálně přihlášeného uživatele. Další podrobnosti popisuje Microsoft Security Bulletin MS05-050.

Záplaty jsou tentokráte závislé nejen na použitém systému, ale především na použité verzi DirectX. Jakou verzi DirectX máte, zjistíte snadno spuštěním příkazu dxdiag. Odkazy ke stažení záplat následují.

Update: 22:50: U Microsoftu v tom měli trošku nepořádek, takže u některých záplat byly opraveny informace, ke které verzi DirectX a systému se vztahují (hned mi bylo divné, kde se vzal DirectX 8.1 ve Windows XP se SP2).

• DirectX 7 na Windows 2000 SP4: český a anglický
• DirectX 8.1 na Windows XP SP1 a 9.0c na Windows XP SP2: český a anglický
• DirectX 8.1 9.0c na Windows XP x64: anglický
• DirectX 8.1 na Windows Serveru 2003 bez a se SP1: český a anglický
• DirectX 8.1 na Windows Serveru 2003 IA-64 bez SP1 a 9.0c na Windows Serveru 2003 IA-64 se SP1: anglický
• DirectX 8.1 9.0c na Windows Serveru 2003 x64: anglický
• DirectX 8.0 až 8.2 na Windows 2000 SP4: český a anglický
• DirectX 9.0 až 9.0c na Windows 2000 SP4: český a anglický
• DirectX 9.0 až 9.0c na Windows XP SP1: český a anglický
• DirectX 9.0 až 9.0c na Windows Serveru 2003: český a anglický

Díra v MSDTC a COM+ umožňuje vzdálené spuštění kódu

Tato záplata lepí celkem čtyři nalezené díry. Jedna se týká MSDTC (Microsoft Distributed Transaction Coordinator), skrze který se může útočník nabourat do systému (vyjma Windows XP se SP2 a Windows Serveru 2003 se SP1, přičemž na Windows XP se SP1 není MSDTC ve výchozím nastavení spuštěn). Druhá se týká děravosti COM+ (Microsoft Component Object Model and Microsoft Transaction Server neboli MTS), kdy anonymní útočník může vzdáleně spustit svůj kód. Výjimku opět tvoří Windows XP SP2 a Windows Server 2003 jak bez, tak se SP1, kde musí být útočník přihlášen přímo na stanici, aby mohl škodit (zvyšovat si práva). Nakonec jsou tu dva problémy s TIP (Transaction Internet Protocolem), v obou případech lze vzdáleně způsobit zatuhnutí MSDTC. Další podobnosti můžete vyčíst z Microsoft Security Bulletinu MS05-051.

Odkazy ke stažení záplat:

• Windows 2000 SP4: české a anglické
• Windows XP SP1 a SP2: české a anglické
• Windows XP x64: anglické
• Windows Server 2003 bez a se SP1: český a anglický
• Windows Server 2003 IA-64 bez a se SP1: anglický
• Windows Server 2003 x64: anglický

Kumulativní aktualizace pro Internet Explorer

Kumuly se kumulují, fífuly se fífulují a Internet Explorer jednou za čas potřebuje kumulativní záplatu, s tím nic nenaděláme. V té poslední je opět nastaven tzv. „kill bit“ pro řadu dalších COM objektů, podobně jako v kumulativní aktualizaci popsané v srpnovém Security Bulletinu MS05-038, aby nebyly používány jako ActiveX prvek v Internet Exploreru, jinak může skrze některé dojít ke vzdálenému spuštění kódu útočníka. Microsoft Security Bulletin MS05-052 má další podrobnosti.

Odkazy ke stažení záplat:

• Internet Explorer 5.01 pro Windows 2000 SP4: český a anglický
• Internet Explorer 6 SP1 pro Windows 2000 se SP4 a Windows XP SP1: český a anglický
• Internet Explorer 6 pro Windows XP SP2: český a anglický
• Internet Explorer 6 pro Windows Server 2003 bez i se SP1: český a anglický
• Internet Explorer 6 pro Windows Server 2003 IA-64 bez i se SP1: anglický
• Internet Explorer 6 pro Windows Server 2003 x64: anglický
• Internet Explorer 6 pro Windows XP x64: anglický

Důležité záplaty

Díra v NetWare klientovi umožňuje vzdálené spuštění kódu

Tohle už je trochu vážnější, protože jde o vzdálené spuštěné kódu útočníka. Aby k němu však došlo, je třeba používat službu Microsoft Client Service for NetWare, která však není ve výchozím stavu v systému nainstalována, proto není díra označena jako kritická, ale jen důležitá. Jistým řešením je kromě příslušné záplaty i zablokování TCP portů 139 a 445 na firewallu v systému. Další detaily naleznete v Microsoft Security Bulletinu MS05-046.

Odkazy ke stažení záplat:

• Windows 2000 SP4: české a anglické
• Windows XP SP1 a SP2: české a anglické
• Windows Server 2003 bez a se SP1: český a anglický

Díra v Plug and Play umožňuje vzdálené spuštění kódu či zvýšení práv

Nedávná oprava díry v Plug and Play ze srpna zřejmě není úplně dokonalá, protože tato nová ji nahrazuje. V této službě se totiž vyskytla další drobná skulina, které umožňuje zvýšení práv uživatele a pokud není instalována zmíněná předchozí záplata, pak je u Windows 2000 možné anonymním uživatelem ovládnout celý systém vzdáleným spuštěním kódu. Na Windows 2000 a Windows XP se SP1 je tedy možné využít díru jen uživatelem s účtem na napadaném systému, u Windows XP SP2 toto může vzdáleně provést jen administrátor, při lokálním přihlášení na počítači si však takto mohou zvýšit práva i ostatní uživatelé. Opět tradičně pomáhá blokace TCP portů 139 a 445 na firewallu. Podrobnosti přináší Microsoft Security Bulletin MS05-047.

Odkazy ke stažení záplat:

• Windows 2000 SP4: české a anglické
• Windows XP SP1 a SP2: české a anglické

Díra v Collaboration Data Objects umožňuje vzdálené spuštění kódu

V souborech Cdosys.dll a Codex.dll, které jsou součástí COM modulu Microsoft Collaboration Data Objects (CDO) je díra, která umožňuje útočníkovi vzdálené spuštění kódu. CDO je využíván mimo jiné i Microsoft Exchange serverem a napadení systémů prohíná speciálně upravenou zprávou, zaslanou na počítač skrze SMTP protokol. Ten však ve výchozím nastavení IIS 5.0 a SMTP služeb Exchange 2000 serveru nepoužívá právě zmíněné soubory, takže riziko je o to menší. IIS 6.0 navíc není ve výchozím nastavení na Windows 2003 serveru zapnuto a je-li zapnuto, nepoužívá standardně SMTP protokol. Další podrobnosti, včetně postupu, jak problém vyřešit i bez instalace záplaty, jsou popsány v Microsoft Security Bulletinu MS05-048.

Odkazy ke stažení záplat:

• Windows 2000 SP4: české a anglické
• Windows XP SP1 a SP2: české a anglické
• Windows XP x64: anglické
• Windows Server 2003 bez a se SP1: český a anglický
• Windows Server 2003 IA-64 bez a se SP1: anglický
• Windows Server 2003 x64: anglický
• Exchange 2000 Server SP3 s Post-SP3 Update Rollupem ze srpna 2004: anglický

Díry ve Windows shellu umožňují vzdálené spuštění kódu

Následující záplaty řeší hned tři chyby ve Windows shellu. Ve dvou případech jde o špatné zpracování záměrně speciálně pokaženého .lnk souboru (používaného jako zástupce jiných souborů), pomocí kterého lze ze zákeřné stránky kompromitovat systém. Třetí problém se týká nešetrného zpracování některých znaků v určitých položkách HTML dokumentu, kdy při náhledu takového dokumentu může dojít ke spuštění kódu útočníka. Záplaty nahrazují dvě starší, popsané v Security bulletinech MS05-016 z dubna a MS05-024 z května. Podrobnosti přináší čerstvý Microsoft Security Bulletin MS05-049.

Odkazy ke stažení záplat:

• Windows 2000 SP4: české a anglické
• Windows XP SP1 a SP2: české a anglické
• Windows XP x64: anglické
• Windows Server 2003 bez a se SP1: český a anglický
• Windows Server 2003 IA-64 bez a se SP1: anglický
• Windows Server 2003 x64: anglický

Střední záplaty

Díra ve Windows FTP klientu umožňuje zfalšovat cílovou cestu

Touto dírou naštěstí není postiženo mnoho systémů, dokonce když si nenainstalujete Internet Explorer 6 SP1 na Windows 2000 (se SP4 samozřejmě, starší MS už nepodporuje), tak nejsou postiženy ani tyto. Navíc aby problém „zabral“, musí mít uživatel v Internet Exploreru povolené zobrazení složek pro servery FTP. Pokud se vše zadaří, může se útočníkovi povést speciální úpravou názvu souboru přesvědčit systém, aby se daný stahovaný soubor z FTP serveru uložil jinam, než uživatel požaduje. Takto by mohl útočník uložit např. nějaký spustitelný soubor do složky „Po spuštění“ (zbytek asi netřeba domýšlet). Podrobnosti o tomto problému popisuje Microsoft Security Bulletin MS05-044.

Odkazy ke stažení záplat:

• Windows XP SP1: české a anglické
• Windows Server 2003: český a anglický
• Windows Server 2003 IA-64: anglický
• Windows 2000 SP4 s Internet Explorerem 6 SP1: české a anglické

Díra v Network Connection Manageru může způsobit zatuhnutí systému

Objevila se další díra, skrze kterou lze zaútočit na systémy Windows. Ty z toho mohou v nejhorším případě i zatuhnout, většinou však přestane jen reagovat Network Connection Manager, který se při dalším požadavku zrestartuje. Nedochází tedy v tomto případě k žádnému spuštění kódu či něčemu podobnému, nebezpečnost je tedy označena jen jako střední. I bez záplaty se můžete tomuto problému bránit zakázáním příchozích UDP portů 135, 137, 138 a 445, TCP portů 135, 139, 445 a 593, případně dalších RPC portů. Další podrobnosti naleznete v Microsoft Security Bulletinu MS05-045.

Odkazy ke stažení záplat:

• Windows 2000 SP4: české a anglické
• Windows XP SP1 a SP2: české a anglické
• Windows Server 2003 bez a se SP1: český a anglický

Nástroj na odstranění škodlivého softwaru

Říjnová verze 1.9 na likvidaci známých virů a červů přidává na svou černou listinu čtyři breberky: Win32/Antinny, Win32/Gibe, Win32/Mywife a Win32/Wukill. Počet známých a odstranitelných červů se tedy zvýšil na 53.

Odkazy ke stažení:

• Nástroj na odstranění škodlivého softwaru - říjen 2005 (verze 1.9): český a anglický