Neues aus dem DFN-CERT

Transkript

1 Neues aus dem DFN-CERT November 2003 März 2004 Arbeitskreis Security auf der 40. DFN Betriebstagung Dipl. Inf. Marco Thorbrügge Agenda Top 20 der Windows-/Unix-Schwachstellen Kurzübersicht Schwachstellen November März 2004 Aktuell: Microsoft System Update Service (SUS)

2 Schwachstelle im Windows Arbeitsstationsdienst (MS03-049/CA ) Buffer Overflow in WKSSVC.DLL Betroffen: Win2k, WinXP Standardmäßig installiert und gestartet Über das Netzwerk ausnutzbar Folge: Denial of Service (Absturz des Dienstes) Ausführen eigener Programme (als Lokales System ) Einfallstor: Überlanger Request auf NetBIOS-Ports: 138/139 (jeweils TCP und UDP) Direct Share Port: 445/TCP und 445 /UDP Denial-of-Service gegen ISC BIND 8 (AusCERT ESB ) Fehlerhafte Überprüfung von negativen Antworten auf Nameserver Requests Herkunft der negativen Antwort wird nicht geprüft Direkte Folge: Angreifer können eigene Negativantworten in den Cache einspeisen (Cache Poisoning) Indirekte Folge: Denial of Service gegen Clients, die überlange Antworten aus dem Cache beziehen

3 Schwachstellen März 2003-November 2003 Integer Overflow im Linux Kernel 2.4 (Verschiedene Distributionen) Betroffen: Linux Kernel 2.4 bis einschliesslich Programmierfehler in Systemaufruf sys_brk() Folge: Integer Overflow durch manipulierte Programme im Userspace, die die Funktion aufrufen Programme im Userspace können Zugriff auf Kernelspace erhalten Lokaler Angreifer kann root Berechtigung erlangen Führte zur Kompromittierung der Debian Server Exkurs: Integer Overflow C kennt verschiedene Integertypen mit verschiedenen Wertebereichen, bspw. unsigned short integer: 0 bis signed short integer: bis Problem: Integer Werte werden falsch typisiert Beispiel: Integer Overflow im geleakten Windows Quellcode (Parsing- Code für BMP-Bilder): Offset Variable eines eingelesenen Bildes fehlerhafterweise signed integer (auch negative Werte möglich) Manipuliertes BMP führt dazu, daß Variable cbskip negativ wird Ein read Aufruf überschreibt Stack mit Daten aus dem BMP -> bei geschickter Manipulation wird eigener Code ausgeführt Ausgabe 60, Artikel 10

4 Race Condition im Linux Kernel 2.4 (verschiedene Hersteller) Betroffen: Linux Kernel 2.4 bis einschliesslich Programmierfehler in Systemaufruf execve() Dateiinhalte werden in unsicherem Bereich zwischengespeichert Folge: Race Condition durch lokalen Angreifer Lokaler Angreifer kann Zwischenspeicher manipulieren, bevor der Kernel den Inhalt bearbeitet Angreifer kann unbefugt Dateiinhalte auslesen und ändern Exkurs: Race Condition (aka Symlink-Attacke) Allgemein: temporäre Dateien werden unsicher angelegt Dateien mit vorhersagbaren Namen Schreibberechtigungen für Benutzer im Verzeichnis Vor dem Anlegen keine Überprüfung, ob eine Datei/ein Symlink mit dem entsprechenden Namen existiert Folge: Lokaler Angreifer kann Symlink mit bekanntem Namen auf beliebige Dateien im Dateisystem anlegen Programm überschreibt beim Anlegen der temporären Datei die Zieldatei ties/scriv/ucd-ecs pdf

5 Diverse Schwachstellen in verschiedenen Implementationen des H.323-Protokolls (CA ) Multimediaprotokoll, bspw. für Viderokonferenzen oder Voice-over-IP Mehrere Fehler beim Verbindungsaufbau über enthaltenes Protokoll H Betroffen: Nahezu alle Implementationen von H.323 Folge: Denial of Service (unbestätigt: Ausführen eigenen Codes) Einfallstor: Manipulierte Requests auf Port 1720/TCP und 1720/UDP Verbreitung von W32/MyDoom (aka Novarg, etc.) Verbreitung per Mail (u.a. getarnt als Fehlermail) und KaZaA (.bat,.cmd,.exe,.pif,.scr,.zip) Backdoor und Proxy auf Ports 3127/TCP und 3198/TCP (durch shimgapi.dll, auch Eintrag in die Registry) Kopiert sich in das Download-Verzeichnis von KaZaA winamp5, icq2004-final, activation_crack, rootkitxp, strip-girl-2.0, bdcom_patches, office_crack, nuke2004 (jeweils mit den einer der Endungen.pif,.scr,.bat,.exe). Eigener SMTP-Server für den Versand Scant HTML- und Adressbuchdateien nach Adressen Am DoS gegen sco.com, Stop ab

6 Agenda Kurzübersicht Schwachstellen November März 2003 Aktuell: Microsoft System Update Service (SUS) Was ist SUS SUS = System Update Service Lokaler Windows-Update Server Synchronisieren sich direkt mit MS Update oder einem anderen SUS Server Läuft auf Windows 2000 Server oder Windows 2003 Server (1 Server für ca Clients) Stellt bereit Service Packs und Sicherheitsupdates für Windows 2000 Professional und Server Windows XP Home und Professional Windows 2003 Server Software kostenlos erhältlich (aktuell SUS 1.0 SP1)

7 Was benötigt man? Auf Serverseite: Windows 2000 Server, SP2 oder höher Windows Server 2003 Internet Explorer 5.5 SP2 oder höher NTFS als Dateisystem PIII 700 Mhz, 512 MB RAM, 6GB Festplatte Alle Patches aller Sprachen belegen ca. 3 GB Mit Service Packs für alle Sprachen 20 GB Auf Clientseite Automatischer Update Dienst, bereits enthalten in Windows 2000 SP3 oder höher Windows XP SP1 oder höher Windows Server 2003 Oder unter

8 Windows: Critical Security Updates, Security Rollups, Service Packs WindowsUpdate Sync Updates Configured via web based admin tool. Admin Approves Updates Internet Intranet Running SUS Download and install Approved Updates Corporate Servers, Desktops and Laptops with the Automatic Updates Client Central Client Config Installation Server Einstellung des HTTP-Proxy Festlegen des Servernamens (DNS-Name, NetBIOS) Festlegen des Upstream-Servers ( Patches sofort einspielen oder manuelle Freigabe? Sprachversionen Patches/SP Speicherort der Updates (Plattenplatz!) Einstellungen zur Synchronisation ( Synchronise now ) Einstellungen zur Patchfreigabe (manuell oder automatisch)

9 Sicherheitsfeatures Überprüfung digitaler Signatur beim Synchronisieren Überprüfen digitaler Signaturen und CRC Prüfsumme auf dem Client SUS Setup installiert automatisch Lockdown Wizard und URLScan Tool im IIS Passwörter (z.b. für Proxies) werden in der LSA gespeichert Verbindung über SSL möglich

10 Einstellungen für den Client: Aktivierung des Auto Update Name des Update-Servers Tag und Uhrzeit des automatischen Updates Automatisches Patchen oder nur Runterladen und Benachrichtigung? Reboot nach Einspielen von Patches (Benutzer/keine Benutzer) HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate Konfiguration Per Gruppenrichtlinien (I) Vorlage: wuau.adm

11 Konfiguration Per Gruppenrichtlinien (II) Einschränkungen des SUS Servers Kein Support von MS Office oder anderen Produkten (Exchange Server, MS SQL Server, etc.) Kein Support von Patches von Drittherstellern Ausschliesslich HTTP, kein Windows Netzwerk, DFS, etc. Keine Möglichkeit, Patches wieder zu löschen (z.b. bei neueren Patches) Nur Pull, kein Push von Updates Professionellere Tools existieren (Bsp. System Management Server SMS)

12 Fallstricke / Gefahren / Fehlerquellen Microsoft IIS am Netzwerk Standalone System Härten (z.b. URLScan, Lockdown-Wizard) Abschotten durch Paketfilter Gefälschte Update-Server Verbindung über SSL Schierigkeiten mit Proxies(?) Weitere Infos: