Lỗ hổng trong Windows Vista và 7 cho phép khởi động từ xa

Holein Windows Vista and 7 allows remote reboot

08.09.2009 15:14

Theo:http://www.heise.de/english/newsticker/news/145017

Bài được đưa lênInternet ngày: 08/09/2009

Một sự có thể bịtổn thương trong triển khai cài đặt của Microsoft vềgiao thức SMB2 có thể được khai thác thông qua mạng đểlàm hỏng hoặc khởi động lại Windows Vista và Windows 7.Gốc rễ của vấn đề này là một lỗi trong cách màtrình điều khiển srv2.sys quản lý các yêu cầu của máytrạm khi đầu đề của trường “Xử lý ID Cao” chứamột ký hiệu “&”. Cuộc tấn công không đòi hỏixác thực; cổng 445 của hệ thống đích chỉ phải truycập được, mà đối với sự mặc định thì cấu hìnhmạng cục bộ Windows, nó thường là vậy. SMB2 là một mởrộng của giao thức khóa thông điệp máy chủ theo quiước.

Một sự khai thácđược viết bằng ngôn ngữ Python đã có sẵn sàng. Mộtthử nghiệm tại Heise Security, liên quan tới H của Đức,đã khẳng định rằng khai thác này cho phép một sự khởiđộng từ xa đối với một hệ thống Vista. Tuy nhiên,trong khi thử, khai thác này hình như đã không có ảnhhưởng tới máy tính chạy Windows 7. Theo báo cáo đượcviết bởi Laurent Gaffie, người đã phát hiện ra sự cóthể bị tổn thương này, thì Windows Server 2008 và XP đãkhông bị ảnh hưởng, tuy nhiên, vì chúng không hỗ trợSMB2.

Microsoft đã tung ramột bản cập nhật chính thức cho vấn đề này. Hiệntại, cách chữa duy nhất là đóng các cổng SMB lại bằngviệc bỏ chọn các hộp đối với việc truy cập tệp vàmáy in trong các thiết lập tường lửa.

Avulnerability in Microsoft's implementation of the SMB2 protocol canbe exploited via the net to crash or reboot Windows Vista and Windows7 systems. The root of the problem is an error in how the srv2.sysdriver handles client requests when the header of the "ProcessId High" field contains an ampersand. The attack does notrequire authentication; port 445 of the target system merely has tobe accessible, which in the default Windows local networkconfiguration, it usually is. SMB2 is an extension of theconventional server message block protocol.

Anexploit written in Python is already available. A test at heiseSecurity, The H's German associates, confirmed that the exploitenabled a remote reboot of a Vista system. However, in the test, theexploit had no apparent effect on a computer running Windows 7.According to the report written by Laurent Gaffie, who discovered thevulnerability, Windows Server 2008 might also be affected, since allof the systems named used the same SMB2.0 driver. Windows 2000 and XPwere not affected, however, since they do not support SMB2.

Microsofthas yet to release an official up-date for the issue. Presently, theonly remedy is to close the SMB ports by un-ticking the boxes forfile and printer access in the firewall settings. (anw/c't)

Dịch tài liệu: LêTrung Nghĩa

letrungnghia.foss@gmail.com