En PC & Nätverksteknikers tankar

Thierry Zoller har upptäckt sårbarheter i flera av Trend Micros produkter. Sårbarheterna orsakas av bristande kontroll av CAB-, RAR- och ZIP-filer. Problemet finns även i ESETs Nod32 men då gäller det bara ZIP-filer. Även McAfee har samma säkerhetsbrist och i deras fall omfattar det RAR- och ZIP-filer.

Genom att utnyttja sårbarheterna kan en angripare kringgå virus skyddet och på så sätt få igenom specialformaterade filer som kan innehålla skadlig kod.

Påverkade versioner:

• Trend Micro, Client Server Messaging Suite 3.6
  
• Trend Micro, HouseCall 5.5 EN
  
• Trend Micro, OfficeScan 7.0
  
• Trend Micro, OfficeScan 7.3
  
• Trend Micro, OfficeScan 8.0
  
• Trend Micro, ServerProtect 5.58
  
• Trend Micro, ServerProtect 5.7
  
• Trend Micro, ServerProtect Linux
  
• Trend Micro, Worry-Free Business Security 5.0
• ESET, DELL STORAGE SERVERS
  
• ESET, File Security
  
• ESET, Mail Security
  
• ESET, NOD32 Antivirus 4
  
• ESET, NOD32 Antivirus 4 Business Edition
  
• ESET, NOD32 Antivirus
  
• ESET, NOD32 Antivirus for Exchange Server
  
• ESET, NOD32 Antivirus for Linux Gateway Devices
  
• ESET, NOD32 Antivirus for Lotus Domino Server
  
• ESET, Novell Netware
  
• ESET, Smart Security 4.0
  
• ESET, Smart Security 4.0 Business Edition
• McAfee Active Virus Defense
  
• McAfee Active VirusScan
  
• McAfee Internet Security Suite
  
• McAfee Internet Security Suite 2005
  
• McAfee Email Gateyway
  
• McAfee Internet Security
  
• McAfee Security for Email Servers
  
• McAfee Security for Microsoft Sharepoint
  
• McAfee SecurityShield for Microsoft ISA Server
  
• McAfee Total Protection
  
• McAfee Total Protection 2009
  
• McAfee Total Protection for Endpoint
  
• McAfee VirusScan Command Line
  
• McAfee VirusScan Enterprise
  
• McAfee VirusScan Enterprise for SAP
  
• McAfee VirusScan Enterprise for Storage
  
• McAfee VirusScan Enterprise Linux
  
• McAfee VirusScan Plus 2009
  
• McAfee VirusScan Professional
  
• McAfee VirusScan USB

En ny sårbarhet har upptäckts i den senaste versionen av Mozilla Firefox som släpptes i förra veckan. Orsaken är bristande kontroll av indata till funktionen "nsTextFrame::ClearTextRun()", vilket i sin tur orsakar korruption i minnet vilket kan leda till kodexekvering.

En angripare kan utnyttja sårbarheten genom att specialformatera en webbsida som innehåller kod som utnyttjar sårbarheten och sedan lura en användare att besöka sidan.

Påverkade versioner:
Mozilla Firefox 3.09

Källa: Mozilla.org

Thierry Zoller har upptäckt sårbarheter i flera av Avira AntiVir produkter. Sårbarheterna orsakas av bristande kontroll av filer i CAB-format. En angripare kan utnyttja sårbarheten genom att specialformatera ett CAB-arkiv och sedan lura en användare att tanka ner arkivet.

Påverkade versioner:
Avira AntiVir Free (före AV7 7.9.0.148 / AV8/9: 8.2.0.148)
Avira AntiVir Premium (före AV7 7.9.0.148 / AV8/9: 8.2.0.148)
Avira AntiVir Premium Security Suite (före AV7 7.9.0.148 / AV8/9: 8.2.0.148)
Avira AntiVir Professional (Desktop) (före AV7 7.9.0.148 / AV8/9: 8.2.0.148)
Avira AntiVir Server (före AV7 7.9.0.148 / AV8/9: 8.2.0.148)
Avira AntiVir Exchange (före AV7 7.9.0.148 / AV8/9: 8.2.0.148)
Avira AntiVir SharePoint (före AV7 7.9.0.148 / AV8/9: 8.2.0.148)
Avira AntiVir ISA Server (före AV7 7.9.0.148 / AV8/9: 8.2.0.148)
Avira AntiVir MIMEsweeper (före AV7 7.9.0.148 / AV8/9: 8.2.0.148)
Avira AntiVir för KEN! 4 (före AV7 7.9.0.148 / AV8/9: 8.2.0.148)
Avira AntiVir Virus Scan Adapter för SAP NetWeaver®
Avira AntiVir Professional (Unix) (före AV7 7.9.0.148 / AV8/9: 8.2.0.148)
Avira AntiVir Server (Unix) (före AV7 7.9.0.148 / AV8/9: 8.2.0.148)
Avira AntiVir MailGate (före AV7 7.9.0.148 / AV8/9: 8.2.0.148)
Avira AntiVir WebGate (före AV7 7.9.0.148 / AV8/9: 8.2.0.148)

Källa: Security Focus

Två nya säkerhetsbrister funna av Nigel och Martin Olsen i ClamAV, den första sårbarheten beror på ett fel i funktionen cli_url_canon() som inte hanterar riggade URL:er på ett korrekt sätt, och kan medföra att program kan köras utan användarens vetskap. Den andra bristen beror på ett fel vid hanteringen av UPack-arkiv och kan leda till att ClamAV kraschar.

Påverkade versioner:
ClamAV versioner tidigare än 0.95.1

Källa: ClamAV

En säkerhetsbrist har nyligen upptäckts i Microsoft Powerpoint. En angripare kan utnyttja sårbarheten genom att lura en användare att öppna en speciellt preparerad Powerpoint fil. Ett lyckat utnyttjande kan leda till att kod körs med samma rättigheter som innehas av användaren.

Påverkade versioner:

• Microsoft Office PowerPoint 2000 Service Pack 3
• Microsoft Office PowerPoint 2002 Service Pack 3
• Microsoft Office PowerPoint 2003 Service Pack 3
• Microsoft Office 2004 for Mac

Tillmann Werner och Felix Leder vid The Honeynet Project har tillsammans med Dan Kaminsky listat ut ett sätt att upptäcka Conficker-infekterade maskiner.

Conficker modifierar delar av Windows, närmare bestämt NetpwPathCanonicalize(), på ett sådant sätt att det går att skilja en Conficker-infekterad maskin från både en opatchad maskin och en maskin som är patchad med MS08-067. Gallringen sker genom att man kan analysera felkoder från specialkonstruerade RPC-meddelanden.

Mer information och "proof-of-concept"-kod finns på The Honeynet Project och Doxpara.

För mer information om Conficker så kan du läsa SRI Internationals analys och Conficker Working Groups FAQ, eller The Honeynet Projects "Know Your Enemy: Containing Conficker" samt instruktioner för att scanna efter Conficker med nmap hittar du på Skullsecurity och Seclists.

Ett plug-in till Nessus finns också att ladda hem.

En sårbarhet som kan medföra exekvering av godtycklig kod har upptäckts i Adobe Acrobat Reader.

Genom att skapa en pdf-fil som utnyttjar sårbarheten kan en angripare exekvera godtycklig kod med samma rättigheter som den inloggade användaren har. För närvarande finns det ingen programrättning att tillgå.

För att minska risken att drabbas uppmanas användare av Adobe Acrobat Reader att undvika att öppna pdf-dokument som inte kommer från pålitliga källor.

Sårbarheten upptäcktes av Symantec.

Påverkade versioner:
Adobe Acrobat Reader 9.0.0 och tidigare

Källa: Shadowserver.org / Security Tracker

Haifei Li (Fortine FortiGuard Global Security Research Team) har identifierat två sårbarheter i RealWorks RealPlayer.

Den första sårbarheten beror på otillräcklig kontroll av indata vid bearbetning av IVR-filer (Internet Video Recording).

Den andra sårbarheten beror på ett ospecificerat fel vid bearbetningen av IVR-filer.

Sårbarheterna går att utnyttja genom att få en användare som har en sårbar version av RealPlayer att besöka en riggad webbplats eller öppna en riggad IVR-fil. Vid ett effektivt utnyttjande kan sårbarheterna medge godtycklig kodexekvering.

Enligt Haifei Li är problemet åtgärdat i den senaste versionen av RealPlayer 11.

Påverkade versioner:
RealPlayer 11.x

Källa: Secunia

Under Chaos Computer Congress i julas så visade säkerhetsforskare upp ett sätt att förfalska ett SSL-certifikat så att webbläsaren accepterade det som ett betrott certifikat. Genom bristen kan man sedan generera certifikat för godtyckliga webbplatser.

Jailbreak från iSEC Partners är ett litet program som man kan använda för att exportera privata nycklar/certifikat ut ur Microsoft Cerificate Store som är markerade som 'non-exportable' från en dator till en annan, även fast det inte ska gå. Således kan man via plantering av trojan eller USB U3-hack stjäla användarens personliga privata nycklar/certifikat som används för att komma åt e-tjänster hos företag och myndigheter. Anledningen till att det går att exportera nycklarna/certifikaten är att den inte ligger inom en säkerhetsbarriär. Ligger informationen på ett smart-kort eller en HSM (Hardware Security Module) kan man inte exportera eftersom det då finns en säkerhetsbarriär.

Adrian Pastor vid Procheckup har upptäckt fyra sårbarheter i Novell Groupwise Webaccess och Nick DeBaggis vid Zero Day Initiative har upptäckt en sårbarhet i Groupwise Internet Agent (GWIA).

1. Webaccess är sårbart för en s.k. "Cross-Site Request Forgery" (CSRF). Sårbarheten medger att en angripare kan ta över en användares Groupwise-konto genom att lura användaren att besöka en riggad webbplats eller klicka på en riggad länk.
2. Webaccess innehåller två s.k. "Cross-Site Scripting"-sårbarheter - en beständig (persistent) och en icke-beständig (non-persistent). Dessa två sårbarheter kan medge exekvering av godtycklig skriptkod i en användares webbläsare.
3. Webaccess innehåller en sårbarhet i hanteringen av HTTP POST-förfrågningar. Sårbarheten kan användas av en angripare för att få Groupwise att läcka information.
4. GWIA är sårbart för en buffertöverflödning. En angripare kan utnyttja sårbarheten för att exekvera godtycklig kod.

• Novell Groupwise 6.5x
• Novell Groupwise 7.0
• Novell Groupwise 7.01
• Novell Groupwise 7.02x
• Novell Groupwise 7.03
• Novell Groupwise 7.03HP1a
• Novell Groupwise 8.0

Secunia har publicerat en sårbarhet i programvaran för Axis webbkameror som används för att ansluta och se på kameran direkt från Microsofts utvecklingsverktyg eller Internet Explorer.

Den sårbara delen av kod ligger i funktionen CamImage.CamImage.1 i ActiveX-komponenten AxisCamControl.ocx och utgörs av otillräcklig validering av indata.

Lyckad exploatering av sårbarheten möjliggör exekvering av godtycklig kod på användarens system.

Påverkade versioner:

• AXIS Camera Control version 2.40.0.0 och möjligen också tidigare versioner.

Säkerhetsprodukterna OfficeScan Corporate Edition, Internet Security 2008, Security Pro 2008 och PC-Cillin Internet Security 2007 från Trend Micro innehåller alla flera allvarliga sårbarheter. Dessa kan utnyttjas för att exekvera kod med behörighetsnivå SYSTEM på ett sårbart system.

Uppdateringar finns att tillgå för Office Scan, och för de övriga produkterna släpps dem förmodligen ganska snart.

Påverkade versioner:
Trend Micro PC-Cillin Internet Security 2007
Trend Micro OfficeScan Corporate Edition 8.0 SP1 Patch 1
Trend Micro Internet Security Pro 2008
Trend Micro Internet Security 2008

Källa: Trend Micro

En säkerhetsbrist i Computer Associates ARCServe Backup LDBserver kan tillåta en angripare att fjärrexekvera kod med SYSTEM-rättigheter. En lyckad attack kan därmed ge angriparen total kontroll över det sårbara systemet. En misslyckad attack
kommer sannolikt att krascha LDBserver applikationen.

Observera att klient installationer inte påverkas av detta.

Uppdateringar finns att hämta hos leverantören.

Påverkade versioner:
Computer Associates Server Protection Suite r2
Computer Associates BrightStor ARCServe Backup for Windows 11.1.0
Computer Associates BrightStor ARCServe Backup for Windows 11.5.0
Computer Associates BrightStor ARCServe Backup r12.0 Windows
Computer Associates Business Protection Suite r2
Computer Associates Business Protection Suite for Microsoft SBS Pre ed r2
Computer Associates Business Protection Suite for Microsoft SBS Std Ed r2

Källa: CA

Det har blivit känt att exploateringskod till en 0-day sårbarhet som påverkar Microsoft Internet Explorer finns att tillgå på Internet. Sårbarheten, som är heap-baserad, orsakas av bristande säkerhet i hanteringen av specialformaterade XML-taggar som refererar till frigjort minne i mshtml.dll.

För att sårbarheten ska kunna utnyttjas så krävs att Internet Explorer 7.x körs på Windows XP eller Window 2003. De bekräftar att sårbarheten har utnyttjats på Internet.

För tillfället finns det inte så mycket information att tillgå kring sårbarheten. Det är viktigt som användare att vara noggrann med vilka sidor man besöker samt vilka länkar man följer.

Microsoft har lagt upp följande säkerhetsråd: Microsoft Security Advisory 961051

Påverkade versioner:

• Microsoft Internet Explorer 7.X

En säkerhetsbrist, som upptäckes av Sun, beror på en ospecificerad brist i OpenSSL PKCS#11 engine. Denna kan utnyttjas för att avbryta en SSL-session genom att krascha funktionerna "RSA_sign" och "RSA_verify".

Påverkade versioner:

• Solaris 10 för SPARC samt x86.

Andrew Honig vid Department of Defense har upptäckt en sårbarhet i produkter från VMware. Genom att skicka en riggad förfrågan från gäst-operativsystemet till den virtuella hårdvaran kan en angripare potentiellt skriva till valfritt minne på värdsystemet.

Uppdateringar till de olika produkterna finns att tillgå från VMware.

Påverkade versioner:

• VMware Workstation 6.0.5 och tidigare
• VMware Workstation 5.5.8 och tidigare
• VMware Player 2.0.5 och tidigare
• VMware Player 1.0.8 och tidigare
• VMware Server 1.0.9 och tidigare
• VMware ESX(i) 3.5 och 3.0.2

Sun har släppt uppdateringar till Java. Ett stort antal sårbarheter har upptäckts som kan utnyttjas för bland annat att stjäla information, krascha applikationer, kringgå säkerhetsmekanismer och potentiellt exekvera godtycklig kod.

Påverkade versioner:

• JDK och JRE 6 tidigare än Update 11
• JDK och JRE 5.0 tidigare än Update 17
• SDK och JRE tidigare än 1.4.2_19
• SDK och JRE tidigare än 1.3.1_24

Ilja Van Sprundel har upptäckt en sårbarhet i ClamAV. När ClamAV hanterar JPEG-filer sker rekursiva anrop vid granskning av eventuella miniatyrbilder (thumbnails). Funktionen som granskar saknar dock vissa restriktioner, något som öppnar för oändlig rekursion.

En angripare kan utnyttja sårbarheten med hjälp av en riggad JPEG-fil. En riggad fil som är så konstruerad att den leder in i en rekursionen som slutligen överflödar stacken och kraschar ClamAV.

Påverkade versioner:

• ClamAV versioner innan 0.94.2

Samba implementerar Windows-protokollet SMB/CIFS, vilket möjliggör delning av filer och skrivare över nätverk. En säkerhetsbrist upptäcktes under en intern kodgranskning, och tillåter en angripare att läsa valfritt minnesinnehåll från Samba-processen genom att skicka riggade "trans", "trans2" och "nttrans" anrop till servern.

Säkerhetshålet är rättat i version 3.0.33 samt 3.2.5.

Påverkade versioner:

• Samba 3.0.29 och tidigare
• Samba 3.2.4 och tidigare.

Drivrutinen "libertas" är sårbar för "buffer overflow" och DoS-attacker. Problemet ligger i proceduren "lbs_process_bss()" i "drivers/net/wireless/libertas/scan.c", och kan triggas av specialkonstruerade "beacon"- eller "probe"-svar. En lyckad attack kraschar kärnan. Möjligen kan sårbarheten medge exekvering av godtycklig kod, men detta är ännu inte analyserat.

En rättning finns med i Linux Kernel 2.6.27.5 och nyare.

Källa: Securityfocus