Windows 7 sẽ đánh vào người tiêu dùng với vấn đề an ninh đã được biết

Windows7 to hit consumers with known security problem

QuỹPhần mềm Tự do châu Âu: sự thờ ơ của Microsoft tô đậmgiá trị của phần mềm tự do

FSFE:Microsoft's neglect highlights value of Free Software

Theo:http://fsfe.org/news/2009/news-20091019-01.en.html

Bàiđược đưa lên Internet ngày: 19/10/2009

Lờingười dịch: Cảnh báo cho những ai có dự định sửdụng Windows 7, hệ điều hành mới của Microsoft dự kiếnđược tung ra vào ngày 22/10/2009 với lỗ hổng an ninh cấpđộ 4/5 đã được báo trước nhưng vẫn không được vácho tới thời điểm của bài viết này 19/10/2009. Lỗ hổngnày có thể làm tắt máy tính từ xa nếu bị tấn côngtừ chối dịch vụ.

Hệ điều hành mớinhất của Microsoft, Windows 7, hiện đang được xuất xưởngvới một lỗi nghiêm trọng tiềm tàng. Trước lúc đưara toàn cầu sản phẩm vào hôm thứ ba, Cơquan an ninh IT liên bang Đức (BSI) đã đưa ra một cảnhbáo về một chỗ tổn thương rủi ro cao trong giao thứcSMB2. Điều này có thể bị khai thác qua mạng để làmtắt một máy tính với một cuộc tấn công từ chốidịch vụ (DoS).

Sự việc này miêu tảcách mà phần mềm sở hữu độc quyền thường đưa ramột rủi ro về an ninh. “Chỉ có Microsoft có thể sửađược vấn đề này. Mà họ đã hình như nhắm mắt họlại đối với chỗ có thể bị tổn thương này mộtthời gian dài, với hy vọng rằng nó có thể sẽ khônglàm hỏng việc tung ra Windows 7 vào thứ ba này”, KarstenGerloff, Chủ tịch của Quỹ Phần mềm Tự do châu Âu(FSFE), nói.

Theo những thực tiễnphát hiện có trách nhiệm, BSI đã không đưa ra các chitiết trong tuyên bố của mình (phần dịch sang tiếng Anhở bên dưới) từ hôm 06/10. Trong khi chờ đợi thườnglà một chiến lược tốt để trao cho các nhà cung cấpthời gian để sửa chữa những chỗ có thể bị tổnthương trước khi công bố chúng một cách công khai, trongtrường hợp này BSI phải xem xét việc đưa ra các chitiết đầy đủ về vấn đề này để tạo sức ép nhiềuhơn lên Microsoft. Cơ quan này nói rằng lỗ hổng an ninhnày ảnh hưởng tới Windows 7 và Windows Vista trong cả cácphiên bản 32 bit và 64 bit, cũng như Windows Server 2008. Chỗcó thể bị tổn thương này là khác với một vấn đềcủa SMB2 trước đó [2] mà với nó Microsoft đã đưa rabản vá MS09-050 vào tháng 9.

Gerloffcủa FSFE giải thích: “Phần mềm của Microsoft khóa tróinhững người sử dụng nó, vì thế họ vẫn phải sốngvới nó ngay cả nếu hãng này phát hiện chúng một cáchhiểu biết đối với một rủi ro về an ninh như thếnày. Với các phần mềm tự do như GNU/Linux - những phầnmềm mà bạn có thể nghiên cứu, chia sẻ và cải tiến -thì một số thực thể độc lập có thể sửa vấn đềnày. Người tiêu dùng phải không ủng hộ hành vi phớtlờ của Microsoft bằng việc mua các sản phẩm của hãng.Phần mềm tự do đưa ra một giải pháp thay thế, và làsẵn sàng từ nhiều nhà cung cấp độc lập”.

Microsoft'slatest operating system, Windows 7, is currently shipping with apotentially serious defect. Ahead of the product's global launch onThursday, Germany's federal IT security agency (BSI) has issued awarning [1]about a high-risk vulnerability in the SMB2 protocol. This can beexploited over the network to shut down a computer with a Denial ofService (DoS) attack.

Thisincident illustrates how proprietary software often poses a securityrisk. "Only Microsoft can fix the problem. But they haveapparently closed their eyes to this vulnerability for a long time,hoping that it wouldn't spoil the retail launch of Windows 7 thisThursday," says Karsten Gerloff, President of the Free SoftwareFoundation Europe (FSFE).

Followingresponsible disclosure practices, the BSI has not published detailsin its announcement (Englishtranslation below) f-rom October 6. While it is generally a goodstrategy to give vendors time to repair vulnerabilities beforeannouncing them publicly, in this case the BSI should considerpublishing the full details of the problem to put more pressure onMicrosoft. The agency says that the security hole affects Windows 7and Windows Vista in both their 32-bit and 64-bit versions, as wellas Windows Server 2008. This vulnerability is different f-rom anearlier SMB2 issue [2]for which Microsoft published the patch MS09-050 in September.

FSFE'sGerloff explains: "Microsoft's software locks its users in, sothey have to stay even if the company knowingly exposes them to asecurity risk like this. With Free Software like GNU/Linux - softwarethat you can study, share and improve - several independent entitiescan fix the problem. Consumers should not support Microsoft'snegligent behaviour by buying its products. Free Software offers anal-ternative, and is available f-rom many independent vendors."

Microsoftcòn chưa trả lời cho cảnh báo của BSI. Không có biểuhiện nào là hãng này sẽ định sửa lỗ hổng này tronghệ điều hành mới nhất của họ trước khi tung raWindows 7 toàn cầu vào thứ ba. Chỗ có thể bị tổnthương này vẫn mở ngay cả sau ngày đưa ra bản vá củaMicrosoft vào tháng 10.

Những thực tiễn vềan ninh của hãng này từ lâu vẫn là nguyên nhân để lolắng. Chỉ trong một sự việc gần đây [3], Microsoft đãbiết về một chỗ có thể bị tổn thương khác trongSMB2 kể từ tháng 7/2009. Trong khi hãng đã sửa vấn đềnày trong phiên bản cuối của Windows 7 vào đầu tháng 8,thì hãng đã không làm gì để sửa vấn đề y như vậytrong Windows Vista hoặc Windows Server 2008 cho tới khi mộtnhà nghiên cứu an ninh độc lập đưa ra công khai về vấnđề này.

Site thông tin về ITHeise của Đức phỏng đoán rằng vấn đề này đã đứngcuối trong một danh sách nội bộ của Microsoft về cáclỗi ưu tiên thấp mà hãng này cố gắn sửa một cách âmthầm, để tránh việc thiên hạ biết tới một cách tiêucực.

[1]Germany'sfederal IT security agency (BSI) has issued a warning
[2]MicrosoftSecurity Advisory (975497): Vulnerabilities in SMB Could Allow RemoteCode Execution
[3]Microsofthas known of the SMB2 hole for some time

----------

Bản dịch từ tiếngĐức về tư vấn an ninh của BSI:

Mức độ đe dọa:“rủi ro cao mức 4” (thang từ 1-5, với mức 5 là “rấtcao”).

Tiêu đề: Giao thứcSMB2 của Microsoft Windows: Một chỗ dễ bị tổn thươngkhác cho phép từ chối dịch vụ (Windows Vista và Windows 7có thể bị tổn thương).

Ngày: 06/10/2009

Phần mềm: MicrosoftWindows 7, Microsoft Windows 7 x64 Edition, Microsoft Windows Vista /SP1 / SP2, Microsoft Windows Vista x64 Edition / SP1 / SP2, MicrosoftWindows Server 2008

Nền tảng: Windows

Hiệu ứng: Từ chốidịch vụ

Có thể bị khai tháctừ xa: Có

Rủi ro: cao

Tham khảo: nghiên cứunội bộ

Mô tả:

Khối thông điệp máychủ (SMB) là một giao thức mà nó cho phép truy cập chiasẻ tới các máy tính và tệp. SMB2 là một phiên bản mớicủa giao thức này, mà nó đã được đưa ra với WindowsVista và Windows Server 2008, và nó cũng sẵn sàng trongWindows 7. Những triển khai cài đặt hiện hành của SMB2sẽ bị ảnh hưởng bởi chỗ có thể bị tổn thươngnày. Đây là một chỗ bị tổn thương mới, không là làcái mà đã được mô tả trong Tư vấn An ninh củaMicrosoft số 975497. Các hệ điều hành được liệt kênày có thể vì thế vẫn bị tấn công thành công ngay cảsau khi việc cài đặt các phiên bản cập nhật của bảnvá trong tháng 10 của Microsoft (MS09-050).

Hiện tại không cóbản cập nhật hoặc bản vá nào sẵn sàng từ nhà cungcấp này. Các hành động duy nhất được khuyến cáo làhãy nhận thức về nó và theo dõi chỗ dễ bị tổnthương này. Như một sự khắc phục thi nó chỉ có thẻđược khuyến cáo để hạn chế sự truy cập tới cácmáy chủ SMB2 đối với các hệ thống được tin cậybằng các tường lửa, hoặc làm mất tác dụng của dịchvụ SMB2.

Microsofthas not yet responded to the BSI's warning. There is no indicationthat the company will manage to fix the gaping hole in its flagshipoperating system before the global launch of Windows 7 this Thursday.The vulnerability remains open even after Microsoft's October patchday.

Thecompany's security practices have long been a cause for concern. Injust one recent incident [3],Microsoft knew about another vulnerability in SMB2 since July 2009.While it did fix the problem in the final version of Windows 7 inearly August, it did nothing to repair the same problem in WindowsVista or Windows Server 2008 until an independent security researcherwent public about the issue. German IT news site Heise speculatesthat the issue ended up on a Microsoft-internal list of low-prioritybugs which the company tries to fix silently, in order to avoidnegative publicity.

[1]Germany'sfederal IT security agency (BSI) has issued a warning
[2]MicrosoftSecurity Advisory (975497): Vulnerabilities in SMB Could Allow RemoteCode Execution
[3]Microsofthas known of the SMB2 hole for some time

-----------

Translationof the BSI's security advisory:

Threatlevel: "4 high risk" (out of 1-5, with 5 being "veryhigh").

Title:Microsoft Windows SMB2-Protocol: Another vulnerability allows denialof service (Windows Vista and Windows 7 vulnerable).

Date:2009-10-06

Software:Microsoft Windows 7, Microsoft Windows 7 x64 Edition, MicrosoftWindows Vista / SP1 / SP2, Microsoft Windows Vista x64 Edition / SP1/ SP2, Microsoft Windows Server 2008

Platform:Windows

Effect:Denial-of-Service

Remoteexploitable:Yes

Risk:high

Reference:internal research

Description:

ServerMessage Block (SMB) is a protocol which enables shared access toprinters and files. SMB2 is a new version of this protocol, which wasintroduced with Windows Vista and Windows Server 2008, and which isalso available on Windows 7. Current implementations of SMB2 areaffected by this vulnerability. This is a new vulnerability, not theone described in Microsoft Security Advisory 975497. The listedoperating systems can therefore still be successfully attacked evenafter installation of the up-dates of Microsoft's October patchday(MS09-050).

Currentlythere is no up-date or patch available f-rom the vendor. The onlyrecommended actions are to be aware of and track the vulnerability.As a workaround it can only be recommended to limit access to SMB2servers to trusted systems by firewalls, or to disable the SMB2service.

Dịch tài liệu: LêTrung Nghĩa

letrungnghia.foss@gmail.com