Сетевая утилита для тестирования уязвимостей MS08-065 и MS08-067

Обе эти уязвимости связаны с обработкой RPC запросов и представляют большую опасность для пользователей, которые не установили исправления. Уязвимость в службе Server в данный момент эксплуатируется червем Gimmiv.A. По данным SANS в данный момент существует два варианта распространения: посредством самого эксплоита и через P2P сеть (Emule).

В настоящий момент известны следующие образцы злонамеренного кода:

• Trojan:Win32/Wecorl.A
• Trojan:Win32/Wecorl.B
• Trojan:Win32/Clort.A
• Trojan:Win32/Clort.A!exploit
• Trojan:Win32/Clort.A.dr
• TrojanDownloader:Win32/VB.CQ
• TrojanDownloader:Win32/VB.CJ

Вышеописанные уязвимости представляют большую опасность для компаний и для отдельных пользователей в сетях, где отсутствуют механизмы идентификации уязвимых хостов (таких как XSpider, MaxPatrol или MBSA).

Positive Technologies выпустила сетевую утилиту для идентификации уязвимостей, описанных в бюллетенях безопасности MS08-065 и MS08-067. Для проверки достаточно иметь доступ только к портам сервисов NetBIOS (445/tcp) и Message Queuing (2103/tcp).

На рисунке изображены результаты сканирования:

С помощью этой утилиты системные администраторы смогут быстро и легко выявить уязвимые системы и установить соответствующие исправления.

Загрузить утилиту проверки.

Ссылки

http://www.f-secure.com/weblog/archives/00001526.html
http://www.shadowserver.org/wiki/pmwiki.php?n=Calendar.20081030
http://blog.threatexpert.com/2008/10/gimmiva-exploits-zero-day-vulnerability.html
http://honeytrap.mwcollect.org/msexploit
http://isc.sans.org/diary.html?storyid=5288&rss
http://isc.sans.org/diary.html?storyid=5275&rss
http://www.securitylab.ru/analytics/361827.php
http://www.securitylab.ru/vulnerability/361179.php
http://www.securitylab.ru/vulnerability/361770.php
http://www.microsoft.com/technet/security/bulletin/MS08-065.mspx
http://www.microsoft.com/technet/security/bulletin/MS08-067.mspx
http://blogs.msdn.com/sdl/archive/2008/10/22/ms08-067.aspx

Ниже приведены подробности о проверяемых уязвимостях.

MS08-065 или уязвимость в Message Queuing Service

Краткое описание уязвимости

Уязвимость существует из-за переполнения динамической памяти в службе Message Queing Service (mqsvc.exe) при обработке RPC запросов. Удаленный неавторизованный пользователь может отправить уязвимой системе специально сформированный RPC запрос и выполнить произвольный код на целевой системе с привилегиями учетной записи SYSTEM. Для выполнения кода злоумышленнику придется произвести тайминг атаку.

Способы противодействия

Заблокировать входной трафик:

• к портам выше 1024
• к любому другому RPC порту

Отключить уязвимую службу: sc stop MSMQ & sc config MSMQ start= disabled

Установить исправление: http://www.microsoft.com/downloads/details.aspx?familyid=899e2728-2433-4ccb-a195-05b5d65e5469&displaylang=en

MS08-067 или уязвимость в службе Server

Краткое описание уязвимости

Уязвимость существует из-за переполнения буфера в службе Server при обработке RPC запросов. Удаленный пользователь может с помощью специально сформированного RPC запроса вызвать переполнение стека и выполнить произвольный код на целевой системе. Для удачной эксплуатации уязвимости на Windows Vista и Windows Server 2008 атакующий должен успешно аутентифицироваться на системе.

Способы противодействия

Способы противодействия описаны в статье Подробности уязвимости MS08-067.

Загрузить утилиту проверки.