0-day - уже используется уязвимость в IE7

[vaber 350]

На китайских серверах стали активно использовать зиродей - эксплоит, который пробивает IE7 под XP и 2003 со всеми заплатками на текущий момент. Фикс пока нету.

Проверка версий браузера и венды:

nav=navigator.userAgent.toLowerCase();if(navigator.appVersion.indexOf('MSIE')!=-1){version=parseFloat(navigator.appVersion.split('MSIE')[1])}if(version==7){w2k3=((nav.indexOf('windows nt 5.2')!=-1)||(nav.indexOf('windows 2003')!=-1));wxp=((nav.indexOf('windows nt 5.1')!=-1)||(nav.indexOf('windows xp')!=-1));if(wxp||w2k3)document.write('<XML ID=I><X><C><![CDATA[<image SRC=http://ЧЧЧ src=http://www.google.com]]><![CDATA[>]]></C></X></xml><SPAN DATASRC=#I DATAFLD=C DATAFORMATAS=HTML><XML ID=I></XML><SPAN DATASRC=#I DATAFLD=C DATAFORMATAS=HTML></SPAN>');var i=1;while(i<=10){window.status=" ";i++}}

Бинарник, который загружается на систему в закрытой ветке...возможно и полный код эксплоита будет выложен

[Deja_Vu 366]

Эм ... а зачем статусная строка нулится 10 раз? %)

что-то мне кажется излишнего кода много -))

разве не это должно проить эксплорер?

<![CDATA[<image SRC=http://ЧЧЧ src=http://www.google.com]]>

8-ка не пробивается -))

странно ... оказывается лишнего ничего нет -))

[vaber 350]

разве не это должно проить эксплорер?

Я привел лишь часть кода эксплоита . Скоро будет весь, может завтра выложу.

Чуть информации о эксплоите есть тут:

http://www.securitylab.ru/analytics/364556.php

Я и привел код определения версий по подобию скрина на секлабе.

З.Ы. У меня 999 сообщений - завтра будет праздник =))

[p2u 824]

В качестве временного решения SecurityLab рекомендует отключить в браузере Active Scripting.

Вот это меня радует (кроме слова 'временного')...

Paul

[K_Mikhail 807]

Я привел лишь часть кода эксплоита . Скоро будет весь, может завтра выложу.

Он и так в открытом доступе опубликован теми же китайцами. Вместе с \ko.exe

[Сергей Ильин 1538]

Комментарий компании Trend Micro:

10 декабря, в 2:06 лаборатория TrendMicro (TrendLabs) получила отчет об обнаружении атаки нулевого дня в китайском форуме. Этот пакет продавался в китайских подпольных организациях. Эксплоит использовал Heap Spray на SDHTML который поражает следующую платформу:

Internet Explorer 7.0 (7.0.5730.13)

Windows XP / Windows 2003

После вторжения вредоносные программы загружают следующие ссылки: wwwwyyyyy.cn и wwwwyyyyy.cn.

На момент возникновения проблемы у Microsoft не было патчей к этому эксплоиту.

Решение

В качестве превентивной меры необходимо заблокировать следующие домены на межсетевом экране или прокси - сервере:

cc4y7.cn {BLOCKED}

wwwwyyyyy.cn {BLOCKED}

qqqqttrr.cn {BLOCKED}

www-onlinedown.com {BLOCKED}

hxxp://wieyou.com/iiee/explore.exe {BLOCKED}

hxxp://baidu.bbtu001.com {BLOCKED}

sllwrnm5.cn {BLOCKED}

Более подробную информацию можно получить на сайте http://www.trendmicro.com/vinfo/virusencyc...JS%5FDLOAD%2EMD

[vaber 350]

И вдогонку

http://www.checkpoint.com/press/2008/zonea...-7-exploit.html

[p2u 824]

Также вдогонку:

Оказывается, что не только IE7 уязвим, но также IE5, IE6, и IE8 Beta (послендий на ВСЕХ версиях Windows).

Microsoft: IE5, IE6 Also Affected by Browser Vulnerability.

Paul

[Deja_Vu 366]

Также вдогонку:

Оказывается, что не только IE7 уязвим, но также IE5, IE6, и IE8 Beta (послендий на ВСЕХ версиях Windows).

Microsoft: IE5, IE6 Also Affected by Browser Vulnerability.

Paul

У меня восьмерка почему то не пробилась... какая бета использовалась?

[p2u 824]

У меня восьмерка почему то не пробилась... какая бета использовалась?

Microsoft не говорит, что вышестоящий код сработает в IE8. Возможно надо модифицировать его немного. Речь шла о Beta2; там, кажется, такая же уявизмость...

Paul

[Сергей Ильин 1538]

Вот официальный комментарий-предупреждение от Microsoft.

**************************

На данный момент нам известно только об ограниченном количестве атак такого типа. Также наше расследование показало, что эти атаки неэффективны против пользователей, которые применили рекомендации из опубликованного Бюллетеня Microsoft по безопасности (961051). Посредством известных в настоящее время атак автоматически воспользоваться этой уязвимостью через электронную почту - невозможно.

Дополнительные факторы, снижающие опасность

• Используйте Защищенный режим браузера Internet Explorer 7 в системе Windows Vista и установите уровень безопасности для зон Интернет и Интранет в значение «Высокий»

• По умолчанию обозреватель Internet Explorer в системах Windows Server 2003 и Windows Server 2008 работает в ограниченном режиме, называемом Конфигурация усиленной безопасности. В этом режиме для уровня безопасности зоны Интернет устанавливается значение "Высокий". Это один из факторов, снижающих опасность уязвимости веб-узлов, которые не добавлены в зону "Надежные узлы" обозревателя Internet Explorer. Дополнительные сведения о конфигурации усиленной безопасности обозревателя Internet Explorer см. в подразделе "Часто задаваемые вопросы" раздела, посвященного данной уязвимости.

• Не используйте без необходимости учетную запись с повышенными правами (напр. Администратор). Злоумышленник, успешно воспользовавшийся данной уязвимостью, может получить те же самые права, которые имеет локальный пользователь. Риск для пользователей, учетные записи которых имеют ограниченные права, меньше, чем для пользователей, работающих с правами администратора.

Подробности:

На данный момент расследование показало, что ограниченное количество атак производилось только против Windows Internet Explorer 7 на поддерживаемых версиях Windows XP Service Pack 2, Windows XP Service Pack 3, Windows Server 2003 Service Pack 1, Windows Server 2003 Service Pack 2, Windows Vista, Windows Vista Service Pack 1 и Windows Server 2008.

Microsoft Internet Explorer 5.01 Service Pack 4, Microsoft Internet Explorer 6 Service Pack 1, Microsoft Internet Explorer 6 и Windows Internet Explorer 8 Beta 2 на всех поддерживаемых версиях Microsoft Windows пока расцениваются как потенциально уязвимые.

Уязвимость представляет собой некорректный указатель в функции привязки данных в Internet Explorer. В случае, если функция привязки данных включена (что является состоянием «по умолчанию»), при определенных обстоятельствах, возможно, что объект будет высвобожден без изменения длинны массива, оставляя возможность доступа к области памяти, ранее используемой удаленным объектом. Это может вызвать неожиданное завершение программы Internet Explorer, и её переход в состояние, которое потенциально уязвимо. Мы активно работаем с нашими партнерами программ Microsoft Active Protections Program (MAPP) и Microsoft Security Response Alliance (MSRA), чтобы оперативно предоставлять информацию разработчикам ПО для обеспечения информационной безопасности и обеспечить защиту максимальному количеству пользователей.

Бюллетень Microsoft по безопасности (954462) предоставляет информацию об инструментах, которые вы можете использовать для анализа кода вашего веб-узла на предмет уязвимостей, связанных с внедрением SQL кода (SQL Injection attacks).

[p2u 824]

Ссылок уже много было в данной теме, но хочу подчеркнуть, что корпорация Майкрософт также проверила представленные по ссылке методы обхода проблемы (workarounds). Хотя данные меры не устраняют саму уязвимость, они позволяют надёжно блокировать известные направления атак и касаются именно работы с библиотекой OLEDB32.DLL:

http://www.microsoft.com/rus/technet/secur...ory/961051.mspx

(в середине страницы)

Paul

[p2u 824]

Microsoft выпустила патч. Для тех, у которых автоматические обновления не стоит на Авто:

Microsoft Security Bulletin MS08-078 - Critical; Security Update for Internet Explorer (960714)

Выберите свою ОС и не забудьте переключить язык.

Paul

[Андрей-001 1099]

В прошедший вторник на Windows Update было размещено декабрьское накопительное обновление безопасности для Internet Explorer. В дополнение к Windows Update вы можете загрузить это и другие обновления к продуктам Microsoft через Microsoft Update.

Данное обновление устраняет четыре уязвимости, приводящие к удаленному исполнению произвольного кода, путем изменения метода обработки Internet Explorer параметров и обработки результатов, которые приводят IE в уязвимое состояние. За более детальной информацией по поводу данного обновления следует обратиться к следующей документации:

Бюллетень безопасности MS08-073

Статья базы знаний 958215

Данное обновление имеет статус критического для IE 5.01, 6 SP1 в Microsoft Windows 2000; IE 6 в Windows XP и IE 7. Новые бета-версии Internet Explorer уязвимостям не подвержены.

Обновления безопасности для Internet Explorer - накопительные, поэтому они включают все ранее выпущенные обновления для каждой из версий Internet Explorer.

Настоятельно рекомендуем всем пользователям Internet Explorer загрузить это и другие обновления через Windows Update или Microsoft Update. Пользователям Windows рекомендуем настроить Windows Update на автоматическую установку обновлений для продуктов Microsoft.

Terry McCoy,

программный менеджер по безопасности Internet Explorer

[Андрей-001 1099]

Ещё Admin какой-то патч упомянул вот тут, но без ссылки.

[MiStr 5]

Уязвимость настолько серьёзная, что Microsoft даже сделала спецбаннер на главной странице своего сайта:

[p2u 824]

Уязвимость настолько серьёзная, что Microsoft даже сделала спецбаннер на главной странице своего сайта:

Реклама для Gear Wars 2 рядом немного глупо выглядит в данном контексте:

'Время взять реванш'...

Paul