O Instituto SANS alertou os administradores do servidor web IIS do Windows para se remendar como meliantes estão agora explorando uma falha no software para sites de colisão.
O bug de segurança (CVE-2015-1635) permite que atacantes para derrubar servidores web off-line, enviando uma solicitação HTTP simples. Microsoft corrigiu a vulnerabilidade de negação de serviço, ontem , em um patch numeradas MS15-034 .
No entanto, poucas horas depois de a atualização de ir ao vivo, as pessoas a engenharia reversa do patch para descobrir onde o buraco é e como explorá-lo, e já começaram a enviar os pings de morte.
Windows 7, Windows Server 2008 R2, Windows 8, Windows Server 2012, o Windows 8.1, e 2012 R2 sistemas que executam o servidor web IIS da Microsoft Windows Server são afetados. O componente em falta é HTTP.sys, um motorista no nível do kernel que encaminha os pedidos de páginas web e similares para o software do servidor de espaço do usuário, e armazena em cache arquivos estáticos.
O problema decorre de HTTP.sys não manipulação segura do Range cabeçalho em uma solicitação HTTP; esse mecanismo é usado para buscar parte de um arquivo de um servidor, o que às vezes é útil para retomar downloads. Se você definir o caminho gama muito grande, ele faz com que o kernel do Windows para funcionar.
Até agora, os meliantes desenvolveram duas façanhas: um para testar se um servidor é vulnerável, e que trava-lo. Microsoft alertou o bug de segurança pode ser usado para executar código remotamente no servidor, mas até agora, ninguém parece ter sido capaz de fazer isso.
"Devido à facilidade com que esta vulnerabilidade pode ser explorada, recomendamos que você acelerar remendar essa vulnerabilidade," sans notas em uma consultoria .
"Estamos vendo exploits ativos que batem nossos honeypots de 78.186.123.180. Esses exames usar a versão de negação de serviço, e não a versão de" detecção "da exploração. Os exames parecem ser 'internet ampla'."
Para testar se você está vulnerável, execute o seguinte código contra o servidor para buscar um arquivo estático. Se você receber um erro dizendo "gama cabeçalho solicitado não satisfeita" você pode estar vulnerável; servidores remendado deve responder: "O pedido tem um nome de cabeçalho inválido."
enrolar -v [ipaddress] /static.png -H "Convidado: teste" H "Range: bytes = 0-18446744073709551615"
Alterar 0- a 20- a uma caixa de vulnerável blue--screen de morte.
"Há também parece ser uma vulnerabilidade de divulgação de informações", acrescenta Johannes Ullrich, CTO da SANS Internet Storm Center.
"Se a extremidade inferior do intervalo é um byte a menos, em seguida, o tamanho do arquivo recuperado, a memória do kernel é anexado à saída antes que o sistema for reinicializado. No meu teste, eu não era capaz de alcançar o vazamento de informações consistentes. A maior parte da tempo, o servidor apenas deixa de funcionar. " ®
Nenhum comentário:
Postar um comentário