Lỗ hổng trong Windows Vista và 7 cho phép khởi động từ xa

Hole in Windows Vista and 7 allows remote reboot

08.09.2009 15:14

Theo: http://www.heise.de/english/newsticker/news/145017

Bài được đưa lên Internet ngày: 08/09/2009

Một sự có thể bị tổn thương trong triển khai cài đặt của Microsoft về giao thức SMB2 có thể được khai thác thông qua mạng để làm hỏng hoặc khởi động lại Windows Vista và Windows 7. Gốc rễ của vấn đề này là một lỗi trong cách mà trình điều khiển srv2.sys quản lý các yêu cầu của máy trạm khi đầu đề của trường “Xử lý ID Cao” chứa một ký hiệu “&”. Cuộc tấn công không đòi hỏi xác thực; cổng 445 của hệ thống đích chỉ phải truy cập được, mà đối với sự mặc định thì cấu hình mạng cục bộ Windows, nó thường là vậy. SMB2 là một mở rộng của giao thức khóa thông điệp máy chủ theo qui ước.

Một sự khai thác được viết bằng ngôn ngữ Python đã có sẵn sàng. Một thử nghiệm tại Heise Security, liên quan tới H của Đức, đã khẳng định rằng khai thác này cho phép một sự khởi động từ xa đối với một hệ thống Vista. Tuy nhiên, trong khi thử, khai thác này hình như đã không có ảnh hưởng tới máy tính chạy Windows 7. Theo báo cáo được viết bởi Laurent Gaffie, người đã phát hiện ra sự có thể bị tổn thương này, thì Windows Server 2008 và XP đã không bị ảnh hưởng, tuy nhiên, vì chúng không hỗ trợ SMB2.

Microsoft đã tung ra một bản cập nhật chính thức cho vấn đề này. Hiện tại, cách chữa duy nhất là đóng các cổng SMB lại bằng việc bỏ chọn các hộp đối với việc truy cập tệp và máy in trong các thiết lập tường lửa.

A vulnerability in Microsoft's implementation of the SMB2 protocol can be exploited via the net to crash or reboot Windows Vista and Windows 7 systems. The root of the problem is an error in how the srv2.sys driver handles client requests when the header of the "Process Id High" field contains an ampersand. The attack does not require authentication; port 445 of the target system merely has to be accessible, which in the default Windows local network configuration, it usually is. SMB2 is an extension of the conventional server message block protocol.

An exploit written in Python is already available. A test at heise Security, The H's German associates, confirmed that the exploit enabled a remote reboot of a Vista system. However, in the test, the exploit had no apparent effect on a computer running Windows 7. According to the report written by Laurent Gaffie, who discovered the vulnerability, Windows Server 2008 might also be affected, since all of the systems named used the same SMB2.0 driver. Windows 2000 and XP were not affected, however, since they do not support SMB2.

Microsoft has yet to release an official update for the issue. Presently, the only remedy is to close the SMB ports by un-ticking the boxes for file and printer access in the firewall settings. (anw/c't)

Dịch tài liệu: Lê Trung Nghĩa

letrungnghia.foss@gmail.com