.:: Securnetwork.net Blog - Massimo Rabbi ::.

Oggi ho voluto provare l’installazione del Service Pack 3 di Windows XP.
Partiamo subito col dire che ho avuto una marea di problemi.
Al primo tentativo ho scaricato il pacchetto completo da 300 e passa mega e ne ho lanciato l’installazione: dopo la classica estrazione e verifica dei file la schermata è “scomparsa” lasciando appeso il processo WindowsXP-KB936929-SP3-x86-ITA.exe in background.
Dopo un’inutile attesa ho terminato il processo e riavviato.
Al secondo tentativo ho rilanciato il setup ma dopo le solite verifiche e controlli ho ottenuto un criptico messaggio d’errore “Accesso negato”.
Ho provato quindi a effettuare l’update mediante il sistema Microsoft Update direttamente dal sito Microsoft.
Questa volta il file d’installazione era chiaramente ridotto: approssimativamente sui 60MB. Una volta effettuato il download e partita l’installazione ancora una volta questo fantomatico errore che potete vedere dallo screenshot.

Al che mi sono messo a ricercare su google a cosa fosse dovuto questo problema di “ACCESSO NEGATO”.
Girando per i forum ho visto che parecchi si erano imbattuti in problemi simili.
Sono incappato in un post piuttosto utile all’interno del newsgroup di Microsoft su Windows XP.
Il titolo del topic è abbastanza significativo “Primi problemi Windows XP SP3 in Italiano“.
Ho provato quindi a lanciare il comando seguente:
secedit /configure /cfg %windir%\repair\secsetup.inf /db secsetup.sdb /verbose
Il comando in questione non fa altro che ripristinare le impostazioni di protezione predefinite (maggiori info qui).
A quanto pare infatti il problema di questo errore sembra sia dovuto all’impossibilità di agire su alcuni chiavi di registro.
Nulla da fare. Ancora una volta il fantomatico errore.
Ho quindi trovato questo articolo nel sito Support Microsoft: Messaggio di errore quando si tenta di installare 3 Windows XP Service Pack
Inutile dire che le prime due soluzioni proposte sono risultate assolutamente inutili visto che avevo già provato ad installare col pacchetto completo da 300 mega e che avevo altresì disattivato Kaspersky Internet Security onde evitare problemi.
Leggendo la sezione 3) Reimpostare il Registro di sistema e le autorizzazioni di file, ho notato come il comando che avevo trovato in precedenza fosse consigliato dopo aver pero’ effettuato con il tool subinacl.exe (di cui ho già parlato) una reimpostazione di grant su chiavi di registro e cartelle di sistema.
Ho quindi creato il file Reset.cmd contenente le seguenti righe:
@echo off
cd C:\Programmi\Windows Resource Kits\Tools
subinacl /subkeyreg HKEY_LOCAL_MACHINE /grant=administrators=f /grant=system=f
subinacl /subkeyreg HKEY_CURRENT_USER /grant=administrators=f /grant=system=f
subinacl /subkeyreg HKEY_CLASSES_ROOT /grant=administrators=f /grant=system=f
subinacl /subdirectories %SystemDrive% /grant=administrators=f /grant=system=f
subinacl /subdirectories %windir%\*.* /grant=administrators=f /grant=system=f
secedit /configure /cfg %windir%\inf\defltbase.inf /db defltbase.sdb /verbose
pause

Inutile dire che l’esecuzione dello script ha preso un bel po’ di tempo.
Al termine ho lanciato per l’ennesima volta il pacchetto di installazione.
Attendo fudicioso e finalmente la schermata che conferma l’avvenuta installazione del Service Pack 3.

Veramente un’agonia questa installazione, soprattutto snervante il dover ogni volta attendere il ripristino del backup e della vecchia configurazione ogni qualvolta riscontravo l’errore.
La prossima volta mi sa che optero’ per preparami un cd con Windows XP SP3 già dentro.

Condividi

A quanto pare sembra resti confermata la data del 30 giugno come deadline per la scomparsa di Microsoft Windows XP Professional Edition e Home Edition dagli scaffali.
Dopo quella data infatti cessarà definitivamente la vendita di XP al pubblico, così come i distributori di hardware (Dell e HP in primis) non potranno più preinstallare il sistema operativo sui nuovi pc venduti.
La decisione lascia sicuramente alquanto delusi un po’ tutti, dai distributori agli utenti, visto anche il fatto che un altro recente studio, qualora ce ne fosse bisogno (Ndr), ha dimostrato come Vista sia più lento del suo predecessore XP.

AGGIORNAMENTO: da notare che per i pc low-cost e ultra portatili la data finale sarà il 30 giugno 2010, unicamente per Windows XP Home Edition. Vedi sito Microsoft pagina life-cycle policy.

Condividi

Apple con l’aggiornamento di sicurezza 2008-002 ha fixato ben 46 vulnerabilità in Mac OS X e programmi di terzi parti in esso inclusi. Ben 25 delle vulnerabilità consentirebbero di effettuare code-injection.

L’aggiornamento fixa vulnerabilità presenti in: AFP client e server, Appkit, Application Firewall, CFNetwork, CoreFoundation, CoreServices, Foundation, Help Viewer, Image Raw, libc, Podcast Producer, Preview, printing, system configuration e UDF.
Tra gli aggiornamenti dei software di terze parti inclusi da segnalare: Apache, ClamAV, CUPS, curl, Emacs, file, Kerberos, mDNSResponder, notifyd, OpenSSH, pax, PHP, Wiki Server e X11.

L’aggiornamento a Safari rilasciato ieri fixa altre 13 vulnerabilità di sicurezza.
Tutti gli aggiornamenti sono disponibili attraverso il sistema automatico di update.
Aggiornamento consigliato appena possibile!

Riferimenti:
- About Security Update 2008-002, security advisory from Apple
- About the security content of Safari 3.1, security advisory from Apple
- Apple security update fixes 46 bugs, by Heise Security

Condividi

L’esperto di sicurezza Adam Boileau ha rilasciato il tool winlockpwn, che consente di bypassare il sistema di login di Windows attraverso una porta Firewire, senza conoscere la password da digitare.
Il programma è in grado di manipolare le routines di login in RAM di un sistema che gira, usando il direct memory access (DMA), attraverso una connessione Firewire.
Il tool supporta Windows XP SP2 come sistema target. La tipologia di attacco e il software non sono “nuovi”, in quanto Boileau aveva presentato il problema ad una presentazione ben 2 anni fa.

“Persone che hanno accesso fisico ad un sistema hanno la possibilità di entrare in molti modi…” questa è l’opinione di Boileau, che nel suo sito scrive come con winlockpwn sia “semplice e veloce”.
Come detto poco sopra, a riguardo della vulnerabilità Firewire era stata fatta una presentazione alla conferenza di sicurezza Ruxcon 2006. Nella presentazione è stato spiegato anche qual è il principio di funzionamento dell’hack: usando un Firewire ID copiato, il software inganna il sistema operativo facendogli credere che sia un dispositivo come ad esempio un iPod che necessita DMA.

Microsoft non ha mai rilasciato alcun fix perchè non considera il Firewire DMA un problema di sicurezza, visto che comunque rientra tra le specifiche dell’ IEEE-1394.
Il Direct Memory Access è fondamentalmente un qualcosa di indipendente dal sistema operativo, quindi anche Linux e MacOsX sono suscettibili al problema.
Di norma quindi per proteggere sistemi in cui la sicurezza è critica, le porte FireWire inutilizzate andrebbe disabilitate.

MAGGIORI INFORMAZIONI:
* Firewire, DMA & Windows, Project page by Adam Boileau
* Hit By A Bus: Physical Access Attacks with Firewire, Presentation by Adam Boileau at Ruxcon 2006
* Windows login bypass tool released, by Heise Security

Condividi

Il fatto che Windows sia il sistema sicuramente più diffuso è dato di fatto, così come che la maggior parte del malware e dei virus sviluppati dai vari crackers abbia come target piattaforme Microsoft, Vista o Xp che sia.
Spesso si scatenano su forum, blog, siti tecnici o meno vere e proprie guerre di religione tra i vari “taleban linux” e “taleban windows”.
Gli uni a sostenere Windows è meglio di Linux perchè blablabla, gli altri viceversa a dire Windows è una ciofecca usate Linux se volete essere dei “veri fighi”, superprotetti da qualsiasi minaccia.
Quello che penso è che non esiste un sistema operativo che possa definirsi “MIGLIORE” di altri, ognuno nel bene e nel male ha i suoi pregi e difetti.
Per motivi di lavoro uso Windows XP (in particolare) quasi tutto il tempo. Ai tempi dell’università ho smanettato parecchio con Linux, in tutte le varie salse: anche qui sul numero di distribuzioni Linux che prolificano si potrebbe aprire un dibattito.
Così come mi diverto ogni tanto a provare le varie security-distro Backtrack, Hakin9, Helix, Phlak e chi più ne ha più ne metta, anche se ormai il tempo è quello che è. Ho installato e mantenuto un serverino a casa con OpenBSD 3.9 per alcuni mesi, fino alla rottura di un disco
L’indole da smanettone ti porta poi a provare anche s.o. non troppo diffusi: il mitico QNX o il buon vecchio BeOS (ora rimpiazzato da Haiku).
Di tutti quanti ti fai un’impressione, a volte più o meno superficiale per questioni di tempo o per via di un primo impatto non troppo positivo.

Quando ho letto questa news su Heise Security riguardo il moltiplicarsi di macchine Linux che “entrano a far parte” delle cosiddette botnets, un po’ mi è venuto da sorridere.
Pensavo a come molto spesso si decanti tanto la superiorità di Linux (per carità molto spesso a ragione), e poi si legga come una backdoor (Linux/Rst-B backdoor) di ben 6 anni fa sia il motivo principale del problema.
L’indagine realizzata da Sophos evidenzia come stia aumentando il numero di Linux servers che vengono infettati e diventino a tutti gli effetti zombies pc nelle mani di crackers sparsi nel globo pronti ad utilizzarli come nodi per gli attacchi più svariati (spam, DDoS, etc.).
Come suggerisce l’articolo già solo il fatto di avere anche su Linux installato un antivirus basterebbe ad evitare tutto ciò, visto che la vulnerabilità in questione è individuabile da tutti gli antivir in circolazione.
Tra quelli free ricordiamo:
* Avira: Avira AntiVir PersonalEdition Classic
* AVG Technologies (formerly Grisoft) AVG Anti-Virus Free Edition 7.5 for Linux
* Avast: avast! Linux Home Edition Download
* F-Prot: F-PROT Antivirus for Linux Workstations
* ClamAV: Clam AntiVirus

La verità è quella racchiusa in una frase che fa il giro della rete da anni e che sembra estratta da un vecchio proverbio: “l’unico sistema sicuro è quello spento“.
D’altronde anche Windows può essere reso un po’ più sicuro in pochi passaggi:
- lavorare sempre e cmq con un account non privilegiato, si puo’ fare tutto dal programmare al giocare
- installare un buon firewall e antivirus
- installare un paio di tools per la rilevazione di spyware e malware
Ci vuole poi cosi’ tanto?

APPROFONDIMENTI:
* Sophos: Linux machines hijacked for botnets, by Heise Security
* Botnets, a free tool and 6 years of Linux/Rst-B, blog entry by Sophos
* Botnet study: bots spread through old loopholes

Condividi

L’Internet Storm Center (ISC) ha rilasciato un report in cui vengono elencati alcuni bugs che interessano la famiglia di routers Juniper.
I dispositivi sarebbero suscettibili a problemi di crash nella fase di processing di pacchetti “malformati”. Juniper che è il secondo più grande produttore/distributore di routers e switch al mondo - e uno dei primi competitor di Cisco per quanto riguarda i routers di fascia alta - ha rilasciato gli aggiornamenti che servono a correggere il problema.

Le versioni di JUNOS interessate vanno dalla 7.3 alla 8.4 compresa. Il crash si verifica in seguito alla ricezione di pacchetti IPv6 appositamente modificati. Inoltre la ricezione di pacchetti BGP “malformati” può causare la chiusura improvvisa delle sessioni BGP aperte.
Juniper ha messo a disposizione degli utenti registrati le relative patches.
Nella versione JUNOS 8.5R1 il bug riguardante IPv6 è stato infatti fixato.

RIFERIMENTI:
* Important upgrade for Juniper routers, ISC security advisory
* Update for the IPv6 hole (registered users)
* Update for the BGP hole (registered users)
* Updates close DoS hole in Juniper routers, by Heise Security

Condividi

Nuovi problemi all’orizzonte per il recente sistema operativo MacOSX Leopard.
Stando alle segnalazioni ci sarebbe una vulnerabilità di tipo DoS che se sfruttata puo’ causare il crash del sistema operativo.
Il problema risiede nell’overflow di una variabile intera nella funzione load_threadstack in mach_loader.c nella fase di processing di binari Mach-O. Risultato: un kernel panic.

Qualora il sistema venga usato in ambito domestico, la vulnerabilità non rappresenta un rischio visto che il bug può essere sfruttato solamente da utenti loggati.
Diverso discorso invece nel caso di sistemi multi-utente, visto che non sono richiesti particolari privilegi per provocare l’errore in questione.
La vulnerabilità riguarda Mac OS X 10.5, 10.5.1 e 10.4.11.
Ancora nessuna patch disponibile, ma un exploit di test sì.

Un’altra segnalazione da parte di digit-labs.org ha messo in evidenza una vulnerabilità DoS nel servizio VPN di Mac OS X 10.5 (vpnd).
L’invio di pacchetti appositamente “confezionati” può portare al freeze del demone.
Anche di questo problema esiste un exploit funzionante.
Nessuna patch è ancora disponibile. Il workaround è dunque quello di restringere l’accesso al servizio vpn solamente a client noti.

RIFERIMENTI:
* CVE-2007-6261 Integer overflow in the load_threadstack function in the Mach-O loader, security advisory on CVE
* Apple Mac OS X VPND Remote Denial of Service Vulnerability, security advisory on Bugtraq
* Apple Leopard crash risk, by Heise Security

Condividi

Apple ha rilasciato l’aggiornamento firmware 1.1.2 per l’iPhone e iPod Touch, che corregge le falle scoperte nella libreria TIFF, usate dai possessori di iPhone per eseguire codice di terze parti e personale.
Una volta installato da iTunes, l’aggiornamento impedisce l’esecuzione di codice di terze parti sfruttando files TIFF manipolati.
La falla è stata sfruttata in alcune occasioni da utenti malintenzionati per fare injection di codice arbitrario sul dispositivo.

Gli utenti iPhone desiderosi di far girare le proprie applicazioni personali dovranno attendere ora il rilascio del Software Development Kit (SDK), in programma per febbraio 2008.
Detto questo sono pero’ in circolazione su internet nei vari siti e forum dedicati, le istruzioni su come installare l’aggiornamento senza perdere la possibilità di far girare codice di terze parti (vedi Unofficial Apple Weblog).
L’aggiornamento è invece una priorità di sicurezza per tutti coloro che usano l’iPhone o l’iPod Touch per navigare su Internet.

LINKS:
- About the security content of iPhone v1.1.2 and iPod Touch v1.1.2 Updates, Apple’s security advisory
- Apple closes TIFF hole in iPhone, news by Heise Security

Condividi

Ecco a voi Undelete Plus un altro di quei software da aggiungere alla lista di programmi gratuiti per recuperare file persi o accidentalmente cancellati, vedi il buon vecchio PCInspector.

Undelete Plus di cui è uscita proprio oggi la versione 2.94 è un software per il recupero dati che funziona sotto Win 95/98/Me/NT/2000/XP/2003.
Il programma supporta svariati tipi di file systems di hard disk e floppy drives inclusi FAT12/16/32,NTFS/NTFS5.
E’ inoltre in grado di recuperare immagini cancellate da CompactFlash, SmartMedia, MultiMedia e Secure Digital cards di fotocamere digitali.

Uno screenshot del programma:

Il programma è scaricabile per ora in forma gratuita direttamente dal sito a lui dedicato, disponibile in versione installante o in versione standalone (solo eseguibile).

Condividi

Qualche tempo fa avevo segnalato un bellissimo video su Youtube in cui uno smanettone mostrava come era riuscito a creare un “clone” dell’interfaccia dell’iPhone, al tempo non ancora uscito.
Dopo allora non mi ero più interessato alla cosa e sinceramente non avevo nemmeno più cercato nulla sull’argomento.

Ieri navigando mi è capitato di beccare questa interessante segnalazione su SoftArchive.net.
“Turn your WM5 smartphone into an iPhone”

Il file .rar di quasi 5 mega che è hostato su Rapidshare contiene all’interno un po’ di applicativi e una serie di istruzioni su come installare e configurare il tutto.
Personalmente per motivi di tempo non ho ancora avuto modo di testarlo sul mio HP rw6815. In ogni caso chi ha vogli di provare mi faccia sapere come va!

Condividi

Il gruppo di sviluppatori di Digium, ha rilasciato la versione 1.4.13 del noto software PBX Asterisk.
Con questa release vengono patchate due pericolose falle del sistema voicemail.
In Asterisk infatti il voicemail è processato via IMAP, e stando a quanto riportato da Digium nel bullettin di sicurezza il codice faceva uso di una chiamata a funzione sprintf (metodo alquanto sconsigliato visto che è preferibile usare la più sicura snprintf), con possibilità di buffer overflow.

In particolare un buffer overflow puo’ essere sfruttato per causare il crash del sistema o fare injection e eseguire codice in un terminale. Il problema si verifica quando gli headers di content type e content description sono complessivamente più di 1024 bytes.
Il report afferma che la falla puo’ essere sfruttata solo quando gli utenti accedono alla loro voicemail via telefono, l’accesso via e-mail non soffre del problema.
L’aggiornamento rimpiazza il codice “insicuro” con chiamate snprintf.
Il bug interessa solo le versioni Open Source 1.4.x del software

LINKS:
- Buffer overflows in voicemail when using IMAP storage, security advisory by Digium
- Security update for Asterisk 1.4, by Heise-Security

Condividi

Sta circolando la notizia secondo cui l’IOS Cisco sarebbe vulnerabile ad un DoS che consentirebbe il reboot dei routers degli ISP più disparati. Il problema sembra si presenti quando viene interpretato il comando “show ip bgp regexp” con espressioni regolari particolari.
Il risultato è che il router si riavvia e deve ricostruire la propria tabella di routing BGP.
Se la cosa si verifica per più volte in successione, può succedere che il router venga “ignorato” dai dispositivi di altri providers (per un certo intervallo), questo perchè il suo continuo riavvio viene “marcato” come route non affidabile/disponibile.
Conseguenza più grave è quindi che l’intera rete dell’ISP risulti non più raggiungibile.

Di solito, ogni ISP fornisce dei server pubblici che sono accessibili via Telnet e che possono essere usati per eseguire il comando in questione. I route servers sono usati per recuperare informazioni sul routing tra ISPs.
Oltre all’accesso Telnet, alcuni providers forniscono accesso via Looking Glass web interface, che altro non è che un wrapper Telnet. Anche questa può essere quindi sfruttata per passare comandi “modificati”.
Nonostante questa vulnerabilità risulti quindi molto facile da sfruttare, l’effetto di isolare segmenti di rete è difficilmente raggiungibile. I grossi ISP infatti usano route server dedicati all’unico scopo di restituire informazioni, ma non di effettuare il routing vero e proprio. Le cose possono pero’ essere leggermente diverse quando si ha a che fare con providers più piccoli, che magari usano gli stessi dispositivi per entrambi gli scopi, per una pura questione di risparmio economico.
Per il momento attraverso i canali ufficiali Cisco non ha rilasciato alcuna informazione o aggiornamento per l’IOS.
Come workaround, alcuni ISP hanno cominciato a filtrare particolari espressioni regolari sui servers Looking Glass.
Per quanto riguarda gli accessi via Telnet è sufficiente disabilitare il comando “show ip bgp regexp“.

LINKS:
- DoS vulnerability in Cisco IOS compromises the routers of Internet providers, news by Heise-Security

Condividi

Come parte degli aggiornamenti di sicurezza rilasciati lo scorso martedì, Microsoft ha inserito una patch per migliorare la stabilità della Kernel Patch Protection su sistemi 64-bit Windows XP, Server 2003 e Vista.
La nuova tecnologia, chiamata anche PatchGuard, è pensata per proteggere il kernel di un sistema operativo da codice malevole e prevenire ad esempio l’esecuzione di trojans e rootkits, evitando che si inseriscano nel “cuore” del sistema operativo. Una delle feature ad esempio prevede che vengano caricati nel kernel solo driver firmati digitalmente con certificati validi.

Stando alle parole di Microsoft, l’aggiornamento non fixa alcuna vulnerabilità, ma ha la scopo di incrementara la stabilità, le performance e l’affidabilità del sistema PacthGuard.
Sembra non ci sia infatti alcun collegamento col recente problema legato ai driver grafici ATI, che consentiva il caricamento in kernel space di drivers non firmati. ATI nel frattempo ha infatti rilasciato un aggiornamento e sembra che anche altri vendors abbiano problemi simili. Il problema sembra risiedere nel tipo di installer utilizzato.

LINKS:
- Update to Improve Kernel Patch Protection, Microsoft advisory
- Microsoft patches Kernel Patch Protection for 64-bit Windows, Heise-Security Advisory

Condividi

Più di un anno fa mi è capitato di seguire in occasione del Security Roadshow 2006 di Microsoft, un intervento di Marco Russo a Padova (Centro Congressi Papa Luciani).
In quell’occasione Marco ha illustrato tra le altre cose l’importanza di sviluppare come utente normale e non come amministratore. Considerazioni analoghe le ha poi fatte riguardo all’uso quotidiano del pc in modalità utente con privilegi ridotti piuttosto che come PowerUser o Administrator.
Se siete interessati alle slides della conferenza potete trovarle qui.
Qualche giorno fa mentre stavo cercando il software RunAsAdmin Explorer di Valery Pryamikov, sono incappato in questo interessantissimo sito: http://nonadmin.editme.com/
Si tratta di una sorta di wiki in cui sono raccolte moltissime informazioni, tutorials, articoli e links a materiale e tools utili per utilizzare il proprio sistema in maniera più sicura, partendo dal presupposto di lavorare quotidianamente come utenti normali.
Ci sono varie sezioni relative al programmare, navigare o giocare come “non-admin” e inoltre è presente una serie interessante di “Known Problems” in cui vengono discussi i problemi incontrati più di frequente dagli utenti e i possibili workaround per risolverli.
Un sito da avere sicuramente nei bookmarks!
Segnalo inoltre altri due software che li’ ne’ tra i tools ne’ tra i vari articoli mi è sembrato di trovare.
Si tratta di Steel Run-As (freeware di SteelSonic) e di Runasspc (freeware su Robotronic), che consentono di lanciare in maniera semplice un programma con credenziali diverse dall’utente attualmente loggato, caricando le info da un .exe precedentemente prodotto (da quello di partenza) o da un file criptato.

Condividi

E’ stato scoperto di recente un nuovo tipo di worm, che tenta di cancellare tutti i file MP3 che riesce a individuare all’interno del pc di un utente.
Per fare ciò il worm, chiamato W32/Deletemp3.worm (McAfee), W32.Deletemusic (Symantec) o Win32/AutoRun, si comporta in maniera molto simile a W32/Napir-B, che salì alla ribalta verso la metà del 2005.

Una volta infettato il sistema,Deletemp3, che è stato programmato in Delphi, si aggiunge nell’autostart di Windows in maniera da potersi riattivare ogni qualvolta il pc viene riavviato.
McAfee fa notare come, poichè i percorsi del programma sono fissi, il worm non funziona correttamente in Windows 2000.
Disattiva inoltre il Task Manager e il menu contestuale per le cartelle in Windows Explorer.
Fatto questo procede a cancellare tutti gli mp3 che individua sul disco.
Per propagarsi inoltre, Deletemp3 crea i files autorun.inf e csrss.exe su tutti gli eventuali hard-disk da E: a O:.
Con i dispositivi rimovibili infatti il malware viene eseguito in maniera automatica sfruttando l’autorun, ad esempio inserendo una chiavetta usb infetta.
Il livello di diffusione del virus è tuttavia molto basso e la maggior parte degli antivirus già dispongono delle firme per individuarlo.

LINKS:

• W32/Deletemp3.worm, Malware description from McAfee
• New malware deletes MP3 files , news su Heise Security

Condividi

Oltre ad aggiungere il supporto per YouTube, la versione 1.1 di Apple TV chiude una falla piuttosto pericolosa. La vulnerabilità consentiva di effettuare code-injection e eseguire codice remoto sul device.
Il problema è causato da un bug nell’implementazione Apple dell’Internet Gateway Device Standardized Device Control Protocol, utilizzato dal dispositivo per segnalare, tra le altre cose, al router via UPnP quali porte aprire.
Sembra si verifichi un buffer overflow durante il processing di determinate pacchetti UPnP: questo consente di scrivere codice nello stack dell’applicazione e eseguirlo.
Stando all’advisory sembra la falla possa essere sfruttata da remoto: non è ancora chiaro però se quel “remoto” significhi dalla LAN interna oppure proprio da Internet.
Questo perchè tipicamente i pacchetti UPnP non vengono instradati attraverso Internet.
I problemi con il protocollo UPnP non sono di certo recenti: molto spesso sono stati riscontrati problemi nel supporto fornito dagli stessi router/firewall visto che non di rado capitava che venissero usati come relay o proxies in maniera “malevole”.
L’update viene installato in maniera automatica, anche se c’è da ricordare che il meccanismo di software update dell’Apple Tv è programmato per attivarsi una volta alla settimana. L’utente può tuttavia procedere all’aggiornamento in maniera manuale.

LINK:
- About the security content of Apple TV 1.1, Apple’s security advisory

Condividi

I vari prodotti di sicurezza della nota casa Kaspersky lavorano a stretto contatto col sistema operativo, impiegando un driver che tra le altre cose monitora anche le chiamate di sistema di Windows. Il controllo sul passaggio di parametri effettuato dal driver non sembra essere però corretto: ciò apre la porta a possibile attacchi che sfruttando dati non validi portano al crash del sistema.
Il security provider MatouSec, che ha segnalato il bug, lascia intendere che questa falla potrebbe essere ben più pericolosa di quanto sembri, alludendo a potenziali attacchi di tipo “code injection and execution“.

I prodotti di sicurezza molto spesso si “agganciano” alle funzioni di sistema con lo scopo di monitorare lo stato di funzionamento ed esecuzione di una macchina.
Mediante chiamate alla System Service Descriptor Table (SSDT) è possibile determinare quali programmi sono attivi sul computer e cosa stanno facendo: è possibile quindi prendere decisioni appropriate e interrompere per esempio l’esecuzione di un programma che abbia un comportamento “potenzialmente malevole”. Un’altra funzionalità importante è che questo consente di evitare che potenziale malware tenti di intaccare il comportamento dei software di sicurezza stessi.

Il driver klif.sys si aggancia a svariate syscalls tra cui NtCreateKey, NtCreateProcess, NtCreateProcessEx, NtCreateSection, NtCreateSymbolicLinkObject, NtCreateThread, NtLoadKey2, NtOpenKey e NtOpenProcess.
Se un programma effettua una chiamata ad una di queste funzioni con parametri non validi, il computer crasha e riparte.

Un interessante post su RootKit.com di EP_XoFF spiega questa vulnerabilità (presumibilmente piuttosto datata) usando la funzione NtOpenProcess.
Kaspersky ha reagito alle segnalazioni postando il proprio advisory di sicurezza e annunciando una patch che la compagnia distribuirà a breve tramite il sistema di automatic update.
Kaspersky ha classificato la minaccia come “low”, poichè richiede che un utente locale esegua il software malevole.
Stando all’advisory, la vulnerabilità non consentirebbe l’escalation di privilegi o l’esecuzione di codice esterno.
Le versioni interessate dal problema sembrano essere: Kaspersky Antivirus 6 e 7, Internet Security 6 e 7, Anti-Virus for Windows Workstations 6 e Anti-Virus 6 for Windows Servers, per sistemi operativi da Windows NT a Windows 2003. Sotto Windows Vista sembra che il famigerato crash di sistema non si verifichi.

Questo annunci conferma la crescente tendenza nella scoperta di bug che interessano software dedicati alla sicurezza. I bug scoperti negli antivirus di F-Secure, Grisoft e Avira (tra gli altri) sono legati a problemi di buffer overflows e format string vulnerabilities.
Questi fenomeni per la maggior parte sono da imputare il più delle volte ad una carenza per i dettagli durante la fase di programmazione.
Questo trend non lascia di certo ben sperare, è quindi auspicabile che ci sia un cambiamento di rotta, in virtù del fatto che software come personal firewall e antivirus sono la prima linea di difesa contro la diffusione su larga scala di malware e virus di ogni tipo.

LINKS:

Condividi

L’ultima versione del Kernel Linux, la 2.6.21.4, ripara tre vulnerabilità. La dereferenziazione di un null pointer in netfilter può comportare il crash del kernel in fase di processing di alcune connessioni. Questo bug può essere sfruttato in maniera remota.
Il secondo bug riguarda un problema nella funzione cpuset_tasks_read che consentirebbe a utenti loggati nel sistema di leggere parte della memoria del kernel: questo potrebbe comportare l’accesso a informazioni riservate e protette.
L’ultimo invece riguarda la poca sicurezza nel sistema di generazione  di numeri random in mancanza di una sorgente entropica.

LINK: Changelog for kernel 2.6.21.4, note su kernel.org

Condividi

StartupLite è una piccola utility realizzata da Malwarebytes che consente di disabilitare/rimuovere in maniera veloce e sicura tutte quelle voci di avvio che sono inutili e non necessarie.
Il vantaggio è quello di avere un sistema più leggero e più veloce nel processo di startup chiaramente.
L’utilizzo del programma è semplice: basta scaricarlo, lanciarlo con un doppio click e selezionare tutte le opzioni di avvio che si desidera rimuovere o cancellare.

A questo indirizzo è possibile trovare una lista sempre aggiornata e completa di descrizione delle voci di startup riconosciute.
Il programma può essere scaricato direttamente da qui.

Condividi

Cisco ha rilasciato un advisory in cui si riporta la presenza di varie vulnerabilità che colpiscono il server FTP integrato nell’IOS.
La conseguenza è che un attaccante potrebbe eseguire codice arbitrario ottenendo informazioni o provocando attacchi DoS.
Le falle non sono state descritte in dettaglio tuttavia si sa che l’FTP server dell’IOS non controlla in maniera corretta i dati di login dell’utente. Un attaccante è cosi’ in grado di scrivere o leggere file dal server, come file di configurazione, che potenzialmente potrebbero contenere password.
Sembra come detto sopra che sia possibile eseguire code-injection.
Inoltre un esempio di DoS che è possibile attuare è quello di causare il restart continuo e improvviso del server durante i trasferimenti di files.
Di default l’FTP server non è attivato, tuttavi alcuni amministratori lo utilizzano per installare nuove policies.
Il consiglio è quello di disattivare l’FTP server in attesa di una patch/update software che risolva in maniera “pulita” il problema.

- Cisco Security Advisory: Multiple Vulnerabilities in the IOS FTP Server

Condividi