Bezpečnostní aktualizace od Microsoftu: Listopad 2009

Díra ve WSDAPI umožňuje vzdálené spuštění kódu

Systémy Windows Vista a její příbuzný Windows Server 2008 obsahují jednu nově objevenou bezpečnostní díru ve WSD (Web Services on Devices) API, což je rozhraní umožňující operačnímu systému na síti vyhledávat a rozpoznávat některá zařízení, jako jsou různé PDA, tiskárny či webkamery a další periférie, přičemž se s nimi skrze příslušný protokol domluví na způsobech použití (poskytovaných službách) a podobně. Zranitelnost této funkce spočívá v zaslání patřičné informace na nezabezpečený počítač na TCP portech 5357 či 5358, případně může na výzvu systému útočník odeslat patřičně upravenou odpověď, se kterou systém nepočítá natolik, že nakonec dojde až ke spuštění kódu útočníka. WSDAPI je ve výchozím nastavení na postižených systémech přístupné, ale prý se to dá zneužít jen v situaci, kdy na síti takové zařízení skutečně je a systém s ním komunikuje. Přesto je záplata označena jako kritická, možná proto, že není potřeba součinnosti uživatele (a možná také proto, že si útočníci pravděpodobně časem poradí i bez nějakého toho zařízení komunikujícího skrze WSDAPI).

Další podrobnosti a odkazy ke stažení obsahuje Microsoft Security Bulletin MS09-063.

Díra v License Logging Serveru umožňuje vzdálené spuštění kódu

Ve Windows 2000 Serveru se dlouho ukrývala díra ve službě License Logging, která útočníkovi umožňuje na zranitelný server zaslat patřičně upravený RPC paket, který z důvodu nedostatečného ošetření při zpracování způsobí přetečení zásobníku a může dojít ke spuštění útočníkova kódu. Týká se to jen a pouze Windows 2000 Serveru, přesto je i tato záplata označena jako kritická, protože útočníkovi může situaci zkomplikovat pouze firewall (nemusí znát žádné přihlašovací údaje).

Další podrobnosti a odkazy ke stažení obsahuje Microsoft Security Bulletin MS09-064.

Díry ve Win32k.sys umožňují vzdálené spuštění kódu

Celkem tři bezpečnostní díry byly objeveny ve všech podporovaných systémech vyjma Windows 7 a Windows Serveru 2008 R2. Postiženou komponentou je Kernel-Mode driver Win32k.sys, který má na starosti základní fungování systému, obsahuje i GDI a mimo jiné slouží i jako wrapper pro DirectX. První dvě díry jsou zneužitelné pouze při lokálním přihlášení, speciální aplikací pak útočník může ovládnout celý systém. S třetí dírou je to trochu „jednodušší“, protože využívá nedostatečného ošetření při zpracování Embedded OpenType fontů (mohou být v některých typech dokumentů, Word či PowerPoint nevyjímaje). Patřičně upravený font se zákeřným kódem musí nějak útočník dostat na počítač, který chce napadnout, takže mu prostředníka typicky dělá uživatel dychtivý po zhlédnutí nějaké pikantní prezentace v PowerPointu, kterou mu zaslal e-mailem někdo, koho vůbec nezná, takových uživatelů jsou zjevně stále mraky, takže o úrodné pole se útočník bát rozhodně nemusí. Také stačí vytvořit stránku, která takový embedded OpenType font bude sama obsahovat, a přesvědčit uživatele, aby se na ni podíval. Zpracování vnořeného EOT písma (nemá někdo chuť poslat do BSA nějaký dokument s otázkou „prosím vás, mrkněte na to, rád bych věděl, zda je toto písmo legální…“? ;-) pak způsobí přetečení zásobníku a spuštění patřičně vpraveného kódu, nikoli s právy aktuálně přihlášeného uživatele, ale rovnou na úrovni jádra systému (pořád se bavíme o zneužívání win32k.sys).

Další podrobnosti a odkazy ke stažení obsahuje Microsoft Security Bulletin MS09-065.

Díra v Active Directory umožňuje DoS

Active Directory ve Windows 2000 Serveru a Windows Serveru 2003 a 2008 a dále Active Directory Application Mode (ADAM) ve Windows XP (i x64) a Active Directory Lightweight Directory Service (AD LDS) ve Windows Serveru 2008 obsahuje jednu bezpečnostní díru méně závažného než nejvážnějšího charakteru, která umožňuje útočníkovi způsobit „jen“ zátuh systému (ale u serveru je to dost nemilá věc). Díra je přímo ve službě LDAP, která nedostatečně ošetřuje zpracování LDAP or LDAPS požadavků, takže při patřičném popovídání si s takto nezabezpečeným serverem dojde k přehlcení zásobníku a služba zatuhne.

Další podrobnosti a odkazy ke stažení obsahuje Microsoft Security Bulletin MS09-066.

Díry v Excelu umožňují vzdálené spuštění kódu

Celkem 8 nových děr bylo nalezeno v aplikacích Excel 2002 (z Office XP), Excel 2003 i Excel Vieweru 2003, Excelu 2007 i Excel Vieweru (2007, ale u něj se toto označení nepoužívá) a dále Office pro Macy 2004 i 2008, Open XML File Format Converteru pro Macy a vynechán nebyl ani balíček Microsoft Office Compatibility Pack for Word, Excel and PowerPoint 2007 File Formats. Scénář je notoricky známý, všechny díry lze zneužít vytvořením patřičného souboru pro Excel, detaily žádné z nich však podle Microsoftu nebyly zveřejněny a ani si Microsoft není vědom nějakého konkrétního útoku.

Další podrobnosti a odkazy ke stažení obsahuje Microsoft Security Bulletin MS09-067.

Díra ve Wordu umožňuje vzdálené spuštění kódu

Jestliže Excel byl na tento měsíc děravý jak cedník, Word by se dal z předmětů z oblasti gastronomického hardwaru přirovnat spíše k trychtýři, díra v něm byla objevena jen jedna. Škála postižení je obdobná, Word 2002, 2003, 2004 pro Mac, 2008 pro Mac, Open XML File Format Converter pro Mac, Word Viewer 2003 a Word Viewer (2007); Office Compatibility Pack je tentokráte v pohodě. Scénář je shodný, stačí v uvedených aplikacích otevřít „nesprávný“ dokument a pak už rozhoduje jen úroveň oprávnění vašeho uživatelského účtu.

Další podrobnosti a odkazy ke stažení obsahuje Microsoft Security Bulletin MS09-068.