Dario Forte

é stata appena trovata e riscontrata una vulnerabilità in PHP, che sarebbe in grado di consentire ad un remote attacker di eseguire codice arbitrario o di mandare in crash il sito web su cui gira detta piattaforma-
In particolare la vulnerabilità si verifica nella parte del codice PHP responsabile della gestione degli upload-Non è da escludere impatto anche su altre versioni della piattaforma, meno recenti di quelle segnalate.

Apache contiene un meccanismo (con problemi architetturali) che gestisce in maniera errata il cosiddetto “Chunked encoding”, una parte del protocollo HTTP utilizzata per accettare dati dagli utenti web. Il risultato dello sfruttamento di questa vulnerabilità può essere dal Denial of Service alla esecuzione di codice remoto arbitrario.

Recentmente sono state scoperte delle vulnerabilità multiple in Yahoo! Messenger, mediante le quali un Attacker, che è in grado di exploitarle, potrebbe essere in grado di eseguire codice arbitrario con i privilegi locali. Il computer emergency response team, allo stato attuale, non segnala scansioni in ordine a questa vulnerabilità. Quindi si è ancora in tempo per aggiornare i propri sistemi.

BIND è un’implementazione del Domain Name System (DNS), gestita da ISC. Recentemente è stata scoperta una vulnerabilità nella versione 9 di BIND che consente ad un remote attacker di spegnere il Dns server. Tuttavia non è possibile, a seguto dell’exploit di questa vulnerabilità, eseguire sulla macchina target del codice arbitrario. Tutti i vendor hanno ormai rilasciato le relative patch.

ASP.NET è un insieme di tecnologie di Microsoft, il cui obiettivo è quello di aiutare gli sviluppatori a costruire applicazioni web.
Un recente problema nel tratamiento dei cookies in una componente ASP.NET può generare vulnerabilità verso un buffer overflow, rendendo instabili le applicazioni generate.

Recentemente è stata trovata una vulnerabilità nel prodotto NetScreen 25 , secondo la quale un utente remoto autenticato può causare un Denial of Service. Rimane consigliato l’aggiornamento del sistema operativo del firewall. Nel frattempo, come workaround, si consiglia di Restringere il range di ip che si può connettere all’interfaccia web in amministrazione.

Esistono dei nomi file, utilizzati in ColdFusion, denominati in gergo “DOS reserved filenames”. Questi potrebbero causare una visualizzazione, da parte di ColdFusion della reale web root, quando ColdFusion viene utilizzato con Microsoft IIS.
Al momento attuale non risultano emesse patch. La Macromedia suggerisce di visitare il loro website per ottenere la descrizione di un workaround.

Certain DOS reserved filenames, such as NUL or PRN, can cause
ColdFusion to display the path to the web root directory in an
error message.

Microsoft MSN Chat è un controllo ActiveX per Microsoft Messenger, il noto instant messenging client. E’stato recentemente annunciato che esisterebbe un buffer overflow exists nel controllo ActiveX
che potrebbe permettere ad un attacker remoto di eseguire codice arbitrario sulla macchina target con i privilegi del suo amministratore.

Il daemon rwall (rpc.rwalld) è una utility che viene utilizzata per gestire le cosiddette ” wall requests” verso la rete. Quando una richiesta di questo genere viene inviata, viene interessato il Deamon, che da il via alla procedura di inoltro della call. E’ stata segnalata una vulnerabilità di tipo format string che potrebbe consentire ad un attacker remoto di eseguire codice con i privilegi del deamon rwall.
La patch non risulta al momento disponibile, ma il Vendor consiglia un continuo monitoraggio del sito specifico, in modo tale da poter risolvere il problema non appena sarà pronto l’Update.

Il daemon rwall (rpc.rwalld) è una utility che viene utilizzata per gestire le cosiddette ” wall requests” verso la rete. Quando una richiesta di questo genere viene inviata, viene interessato il Deamon, che da il via alla procedura di inoltro della call. E’ stata segnalata una vulnerabilità di tipo format string che potrebbe consentire ad un attacker remoto di eseguire codice con i privilegi del deamon rwall.
La patch non risulta al momento disponibile, ma il Vendor consiglia un continuo monitoraggio del sito specifico, in modo tale da poter risolvere il problema non appena sarà pronto l’Update.

Se il comando /usr/bin/sar viene impartito con la opzione “o” e con una serie di argomenti troppo lunga si può verificare un errore di memoria. Questo potenziale problema potrebbe essere utilizzato da un malicious user per elevare le sue permissions.
Il vendor raccomanda di aggiornare la base installata.

Windows XP contiene un servizio denominato Multiple UNC Provider (MUP). Si tratta di un mezzo avanzato di individuazione di risorse di rete che sono identificate via UNC (uniform naming convention). Il MUP si occupa di ricevere comandi contenenti i nomi UNC dalle applicazioni e li smista ad ogni UNC provider registrato, a workstation LAN Manager, e ad altri moduli installati.
Quando il MUP riceve una richiesta si occupa di allocare quest’ultima in un buffer. La metodica di gestione dell’allocazione presenta una vulnerabilità che, se sfruttata, può generare un buffer overflow e una consequenziale compromissione della macchina target.

Microsoft ha annunciato il rilascio di una patch cumulativa che include le funzionalità di tutte le patch rilasciate per IE 5.01, 5.5 e IE 6. Inoltre, detto major update dovrebbe essere in grado di eliminare le seguenti due “nuove” vulnerabilità:
* Vulnerabilità nella funzione di “zone determination” potenzialmente in grado di consentire ad uno script incorporato in un cookie di girare nella zona locale del computer. Questo significa, tra l’altro, che lo script stesso può essere memorizzato direttamente sul computer vittima, girando in locale tutte le volte che il cookie lo richiama.
* Vulnerabilità nella gestione degli object tags, in grado di consentire ad un attacker esterno di invocare un eseguibile memorizzato precedentemente sulla macchina locale.

Hewlett-Packard ha appena annunciato il rilascio di una patch per HP Praesidium Webproxy 1.0, che corregge una vulnerabilità per la quale un utente remoto non autorizzato può introdursi nella rete locale.
Ciò sarebbe possibile se l’attacker effettua delle particolari richieste HTTP. L’effetto sarebbe quello di provocare una risposta “anomala” da parte di WebProxy 1.0 , comunicando all’esterno notizie critiche per l’accesso senza alcun controllo o filtraggio.
Nello specifico, risultano vulnerabli le piattaforme HP9000 sotto HP-UX 11.04 (VVOS)
e HP Praesidium Webproxy A.01.00.

Cisco CallManager ha un’interfaccia web in grado di garantire l’accesso all’IMail Server. In questo caso, l’applicazione utilizza un’unica URL per mantenere l’autenticazione di sessione. La vulnerabilità in argomento è relativa ad un problema di gestione della memoria nella computer telephony integration (CTI), con particolare riferimento alla parte di autenticazione. Il risultato è potenzialmente quello di un crash del server. L’Exploit consequenziale è ovviamente quello di un Denial of Service.

I sistemi oracle basati su piattaforme:
Oracle8i Database
Oracle9i Database
Oracle9i Application Server

Risultano vulnerabili ad una serie di problemi relativi a buffer overflow e errato design architetturale, quest’ultimo con particolare riferimento anche al controllo degli accessi e alla validazione degli input. L’impatto è differenziato, in alcuni casi anche notevole. E’ pertanto consigliabile verificare in depth quanto segnalato sui vari advisory Oracle indicati di seguito.

CheckPoint FW1 può essere acceduto da utenti remoti che possono utilizzare sia
SecuRemote sia SecureClient. In questo caso gli amministratori del firewall
possono decidere di forzare una ri-autenticazione ogni “n” minuti.
Tuttavia questo tipo di limitazione può essere “bypassato” agendo sul file di configurazione di SecuRemote, denominato users.C
Allo stato attuale l’unico workaround disponibile è quello di inibire la scrittura su users.C a chi non ha privilegi di amministratore.
Più che di una vulnerabilità in senso stretto, quindi, si tratta di un’impostazione, che può essere soggetta ad elusione.

Le piattaforme a rischio risultano essere: Microsoft Internet Explorer, Microsoft Outlook e Outlook Express, nonchè altre applicazioni in grado di utilizzare l’
Internet Explorer HTML rendering engine.
Nella fattispecie, Microsoft Internet Explorer contiene una vulnerabilità di tipo buffer overflow nel suo processo di gestione degli oggetti contenuti nei documenti HTML. Detta vulnerabilità consentirebbe ad un attacker di eseguire codice arbitrario sulla macchina target, quando quest’ultima visita determinate pagine web o visualizza un messaggio di posta elettronica scritto in formato HTML.

Recentemente sono state segnalate delle vulnerabilità multiple nel linguaggio script denominato PHP. Dette vulnerabilità sarebbero in grado di consentire, ad un attacker remoto, di eseguire codice arbitrario con i privilegi del processo PHP in corso.
Nel valutare l’impatto complessivo del problema, si tenga conto che PHP è ormai utilizzabile sulla quasi totalità delle piattaforme WebServer, appartenenti sia al mondo commerciale sia a quello opensource.

NetFilter è un subsystem nel kernel Linux successivo al 2.4.14, che contiene un modulo denominato “connection tracking helper module”, creato per il protocollo IRC DCC . Lo scopo di questo modulo è quello di monitorare le richieste in uscita di tipo DCC CHAT/SEND ed emettere determinate tipologie di comandi/segnalazioni.
Un bug nelle implementazioni di questo modulo sarebbe in grado di causare una serie di problemi, tra i quali l’apertura involontaria di porte attraverso il firewall.
Si consiglia di aggiornare il kernel alla 2.4.18-pre9. Molti linux vendor, inoltre, stanno mettendo disponibili le patch.

Recentemente è stata scoperta una vulnerabilità in Symantec
Enterprise Firewall, con particolare riferimento al proxy incaricato di gestire Simple Mail Transfer Protocol (SMTP)-

In presenza di determinate condizioni soggettive, un attacker potrebbe essere in grado di modificare la configurazione del firewall e, in extrema ratio, generare un Denial of Service.
Sono da reputarsi particolarmente a rischio le implementazioni del SMTP proxy con network address translation (NAT). In pratica, quando il proxy analizza i pacchetti spediti in maniera particolare e effettua la Nat dinamica, può andare in crash.
Symantec ha riconosciuto il problema ed ha annunciato la prossima disponibilità di una patch, che sarà inclusa nella versione 8.0. Nel frattempo viene consigliato, tra l’altro, di gestire la Nat dinamica solo se estremamente necessaria. In caso contrario utilizzare il wizard in dotazione per effettuare la redirezione del traffico smtp.

SNMP – Simple Network Management Protocol – è uno dei protocolli più diffusi per il network management. A dire il vero, SNMP ha sempre costituito un potenziale problema di sicurezza, a causa delle sue caratteristiche di massima interazione con le infrastrutture di rete. Recentemente sono state segnalate numerose vulnerabilità in altrettante implementazioni di SNMP. Dette vulnerabilità potrebbero consentire accessi non autorizzati da parte di terzi, attacchi di tipo denial-of-service. Il tutto sarebbe potenzialmente molto dannoso.
Per quanto riguarda le soluzioni disponibili, esse variano a seconda dei vendor. Alcuni non hanno patch, e consigliano di gestire il tutto con workaround diversificati.

La feature denominata “Universal Plug and Play” (UPnP) è stata creata per consentire ai computer un’autodiscovery dei dispositivi di vario genere, con particolare riferimento a quelli (network-based). I sistemi operativi Windows ME e XP includono il supporto nativo al UPnP. Windows 98 e 98SE non lo includono ma UPnP può essere installato con un workaround, utilizzando Internet Connection Sharing client, venduto con Windows XP.
Allo stato attuale sarebbero presenti due gravi vulnerabilità. La prima, di tipo buffer overrun, consentirebbe ad un attacker, in presenza di particolari situazioni, di eseguire codice remoto sulla macchina target; La seconda è sempre correlata a UPnP e consentirebbe varie tipologie di Denial of Service. Entrambe le vulnerabilità sono legate all’esecuzione della direttiva di basso livello NOTIFY. Microsoft ha rilasciato la patch al problema, relativa ai seguenti OS:
Microsoft Windows 98
Microsoft Windows 98SE
Microsoft Windows ME
Microsoft Windows XP
La vulnerabilità è grave a tal punto da aver suggerito l’immediato aggiornamento di tutti i sistemi vulnerabili.

AOL Instant Messenger è un programma molto diffuso che viene utilizzato per mandare messaggi, trasferire file, chattare vocalmente su internet, verificare una serie di news in tempo reale, e giocare. Il problema sarebbe relativo proprio alla gestione dei giochi e consentirebbe ad un attacker l’esecuzione di codice remoto.
Si tratta di un problema molto serio, in quanto potrebbe anche essere sfruttato da un malicious code in maniera grave.

E’ consigliabile aggiornare AIM dalla Url sotto indicata, non appena questa sarà disponibile. Nel frattempo la maggior parte dei produttori di Intrusion Detection Systems e firewall( come ISS e CheckPoint) consigliano di bloccare l’accesso degli utenti locali ai servizi AIM. Ciò è possibile mediante il blocking a livello perimetrale della risorsa “login.oscar.aol.com” e della porta
5190.

Il ricercatore Georgi Guninski ha recentemente annunciato la presenza di un grave bug di sicurezza presente nelle versioni di Microsoft Internet Explorer sopra citate, con particolare riferimento alla funzione GetObject(). Detto problema consentirebbe ad un attacker la lettura completa dei file locali ove il browser è installato.
Guninski ha affermato di aver contattato Microsoft circa un mese prima della pubblicazione del suo advisor ma di non aver ricevuto risposta.
Allo stato attuale l’unico workaround consigliato è quello di disabilitare ActiveScripting.

IPSwitch IMail Web Service è un daemon molto usato da Internet Service Provider e Aziende di Hosting per la gestione web-based del POP 3.
Recentemente è stato scoperto un bug di sicurezza nella versione 7.05 che consentirebbe, all’amministratore di un dominio ospitato sulla macchina target, di prendere controllo sugli alias e sulle liste di amministratori degli altri domìni ospitati sulla stessa macchina.
Di fatto, il problema sarebbe di tipo architetturale. In pratica, visto che lo strumento non effettua un controllo approfondito degli alias utilizzati, sarebbe possibile per un alias non autorizzato effettuare una serie di operazioni ( anche di editing e cancellazione) degli altri alias e delle mailing list.

Di seguito le versioni NON vulnerabili:

IMail Web Service 7.04
IMail Web Service 7.03
IMail Web Service 7.02
IMail Web Service 7.01
IMail Web Service 6.x
Allo stato attuale IpSwitch ha chiesto agli utenti registrati di verificare la disponibilità della patch. Ciò è possibile visitando la Url sotto indicata.

DayDream è un progetto reperibile alla Url http://daydream.iwn.fi/about.html. Il suo obiettivo è quello di fornire un sistema di bulletin board system scalabile e totalmente configurabile sotto il sistema operativo UNIX. Recentemente è stata scoperta una vuinerabilità in grado, a seguito di un format string attack, di far eseguire ad un attacker codice arbitrario.
Al momento in cui scriviamo non sono disponibili patch. Si consiglia una consultazione continua della Url del progetto.

La vulnerabilità consentirebbe ad un attacker di far girare codice arbitrario sul target SQL
Server nel contesto in cui l’account dello stesso servizio gira
(solitamente administrator).
L’attacker potrebbe utilizzare una vulnerabilità di applicazioni web per mandare query arbitrarie ad un backend SQL Server, magari già protetto da un firewall senza particolari accorgimenti.
Per risolvere il problema si suggerisce di applicare le patch del vendor, nonchè di non
permettere connessioni dirette al SQL Server da utenti non trusted.
Le patch sono disponibili.

HP Unix è il sistema operativo di Hewlett Packard.
/usr/sbin/rlpdaemon in HP-UX è setuid root. I suoi switches includono “-l” per attivare illogging e “-L /qualche/cosa” per selezionare un logfile differente da quello di default.
Quando il deamon gira attivato da un utente non-root , può creare un logfile di proprietà dell’utente root. Con alcuni accorgimenti un utente locale può approfittare di un bug di sistema per guadagnare i massimi privilegi. La cosa interessante è che il target non ha
bisogno di avere alcuna stampante configurata.
Allo stato attuale HP ha definito questo problema come “logic flaw vulnerability”, e, al momento in cui scriviamo, non è stata segnalata la disponibilità di una patch.
IL bollettino ufficiale è il HPSBUX0111-176. In attesa del rilascio dell’aggiornamento è
forse consigliabile rimuovere rlpdaemon

Questo Worm arriva via email come attachment GONE.SCR. Il file è compresso
usando il programma UPX ed è compilato usando Visual Basic.

I dettagli della email con cui questo Worm arriva sono i seguenti :
Soggetto: Hi
Corpo:
How are you ?
When I saw this screensaver, I immediately thought about you
I am in a harry, I promise you will love it!
Attachment: GONE.SCR.
Una volta aperto l’attach, il worm si propaga ed attiva il suo payload, allo stato potenzialmente dannoso.

Cisco Systems IOS Firewall Feature set, conosciuto anche come Cisco Secure Integrated Software, e Context Based Access Control, è stato introdotto in IOS a partire dalla versione 11.2P. Il prodotto ha una vuilnerabilità che, se sfruttata, genera l’approvazione del transito del traffico previsto come negato dalle dynamic access control lists.
Andando nel dettaglio, questa vulnerabilità può essere exploitata solo contro una singola porta e, a seconda dei parametri di sessione trasmessi e in presenza di particolari condizioni, sarebbe possibile anche mandare dei dati per aprire una connessione con uno degli host protetti dal firewall.
Al momento in cui scriviamo non è possibile alcuna soluzione.

L’unica serie che sarebbe vulnerabile al problema in questione è la 12000. Di base le performance di un router di questo tipo possono subìre un certo decadimento a causa di un numero eccessivo di pacchetti ICMP unreachable da mandare in risposta ad altrettante richieste generative. Ciò, se sfruttato da un malicious hacker, potrebbe anche dar luogo ad un Denial of Service. Come la stessa Cisco Systems ha rammentato, questo tipo di problema si potrebbe avere a seguito di una procedura di network scanning abbastanza articolata (per esempio durante un penetration test distribuito).
Va comunque detto che, all’interno della serie Cisco 12000 potrebbero verificarsi delle “sotto segmentazioni ” di modelli vulnerabili al problema.
Atteso che, per risolvere il problema alla fonte, si raccomanda la disabilitazione totale dei messaggi di tipo unreachable Internet Control Message Protocol (ICMP) o una loro selezione granulare, Cisco Systems ha rilasciato una patch software disponibile per i propri clienti.
Per determinare, inoltre, se la propria linea di prodotto sia vulnerabile al problema, bisognerà anche verificare il tipo di “engine” installato sul proprio dispositivo. Per fare ciò, bisognerà accedere alla console del router e digitare il comando “sh diag” in modalità enable. A questo punto verrà restituita la stringa identificativa, visualizzata come “L3 Engine: x” dove la X costituisce il numero identificativo ( da “0” a “4”) dell’engine interessato.

Microsoft ha recentemente rilasciato un bollettino molto articolato relativo alla soluzione (sotto forma di workaround e software) di numerosi problemi di sicurezza in ordine ai browser Internet Explorer.
In base all’advisory che è stato rilasciato il giorno 8 novembre 2001, con questa operazione sarebbero, a detta di Microsoft stessa, stati eliminati tutti i problemi conosciuti di Explorer, a tal punto che gli utenti che, come consigliato, avevano disabilitato Active Scripting possono riabilitarlo, visto il superamento dei problemi ad esso relativi.
Un interessante intervento riguarda anche Microsoft Internet Explorer 6.0. Sono stati mitigati i problemi relativi alla possibile gestione malicious dei cookies, nonchè della gestione dei messaggi di posta elettronica in formato Html.

I laboratori di ricerca di Entrust hanno scoperto e patchato una vulnerabiltà in grado di consentire di ricavare illecitamente dei file su alcuni web server GetAccess, con particolare riferimento al servizio denominato access service.
Di fatto, la vulnerabilità consentirebbe ad un potenziale attacker di reperire dei file altrimenti sottoposti a protezione. Il problema è particolarmente delicato in quanto sono molti gli utenti che collocano dei dati sensibili su una location di questo genere. A seguito dello sfruttamento della vulnerabilità di cui sopra, quindi, si corre ll rischio di impattare negativamente sul servizio di controllo di accessi. Si tenga conto, a tal proposito, che molti clienti memorizzano delle informazioni sensibili sui GetAccess runtime servers, cioè su location che non hanno interazioni di alcun tipo con il servizio di controllo accessi oggetto di vulnerabilità. Questo workaround potrebbe ridurre l’impatto della citata vulnerabilità.

Il CERT ha segnalato la presenza di vulnerabilità multiple in numerose implementazioni del line printer daemon (lpd), afferenti i sistemi operativi sotto citati.
Allo stato attuale l’allarme del Cert si concentra, più che sulle novità dei problemi in sè, sull’urgenza di segnalare agli amministratori di sistema l’urgenza di un aggiornamento, in quanto si sta notando un incremento delle scansioni su questo tipo di target.
La maggior parte di queste vulnerabilità appartiene alla tipologia dei buffer overflows e consente ad un attacker remoto di guadagnare addirittura accessi e privilegi di root sull’lpd server.

Di seguito le piattaforme vulnerabili:

* BSDi BSD/OS Versione 4.1 e precedenti
* Debian GNU/Linux 2.1 e 2.1r4
* FreeBSD tutte
* Hewlett-Packard HP9000 Series 700/800 con HP-UX con releases
10.01, 10.10, 10.20, 11.00, e 11.11
* IBM AIX Versions 4.3 e AIX 5.1
* Mandrake Linux 6.0, 6.1, 7.0, 7.1
* NetBSD 1.5.2 e precedenti
* OpenBSD Version 2.9 e precedenti
* Red Hat Linux 6.0 tutte le architetture
* SCO OpenServer 5.0.6a e precedenti
* SGI IRIX 6.5-6.5.13
* Sun Solaris 8 e precedenti
* SuSE Linux Versioni 6.1, 6.2, 6.3, 6.4, 7.0, 7.1, 7.2

Si tratta di una vulnerabilità afferente il sistema operativo di Microsoft.
I client Macintosh che utilizzano il file system NTFS (proprio di Windows NT) su volumi di Windows 2000 avente il Service Pack 1, potrebbero consentire una modifica da remoto da parte di un attacker non locale. Il risultato di questa operazione potrebbe estrinsecarsi anche con una modifica delle directory permissions.
Nella fattispecie un attacker remoto, dopo essersi collegato ad una macchina Windows 2000 server dal suo client Macintosh potrebbe essere in grado di creare una subdirectory su un volume NTFS e modificare le relative permissions.
Al momento in cui scriviamo la patch non è disponibile.

Lotus Domino è un Application server disegnato per aiutare gruppi di lavoro su progetti comuni ed offrire al contempo servizi bsati su SMTP, POP3, IMAP, LDAP, e web, in interazione con un database Lotus Notes.
Un database di questo genere può contenere dei documenti che sono organizzati in “viste”. A queste ultime possono essere associate delle Access control lists, così come ai database stessi e ai documenti.
E’stato scoperto che, anche se è stato negato ad un utente l’accesso alle “viste” (conosciute anche con il nome di “view”, sarebbe comunque possibile bypassare le permissions per loro settate ed accedere ai documenti che si credono erroneamente protetti.
La patch al momento non risulta essere disponibile. L’unico workaround possibile sarebbe quello di gestire le ACL con la massima oculatezza, e con particolare riferimento ai field degli autori e dei “reader” autorizzati a leggere i dati.

Una vulnerabilità architetturale consentirebbe ad un attacker di mandare in crash una macchina con Microsoft IsA server utilizzando un exploit in grado di generare dei pacchetti UDP frammentati. Una volta lanciato lo script, i pacchetti in transito per il tool Microsoft genererebbero un consumo di Cpu pari al 100%.
Allo stato attuale non sono disponibili patch

Network Query Tool 1.0 (compresa la versione per PHPNuke 5.2) è un PHP script che ha il compito di consentire l’effettuazione delle seguenti operazioni:

– Resolve/Reverse Lookup
– ottenere DNS Records
– Whois (Web)
– Whois (proprietario dell’IP)
– Check port
– Ping host
– Traceroute

Recentemente un tecnico francese ha segnalato un problema di sicurezza causato dalla mancanza di controllo, da parte di questo strumento, di alcuni meta-caratteri. Un’immissione, nella riga di comando, di un carattere di questo tipo potrebbe provocare
l’esecuzione arbitraria di comandi sul web server.
L’exploit sarebbe disponibile, ma allo stato attuale gli sviluppatori del codice, opportunamente alletrati, non avrebbero ancora rilasciato una patch.

Gli utenti della release Debian di Linux ( e di altre versioni, verosimilmente a rischio) sono impegnati nello studio di una vulnerabilità nel package denominato “ht://Dig “. Quest’ultimo si occupa di gestire l’indicizzazione e le ricerche di sistema in piccoli domini o in una intranet di piccolo medio calibro.
Secondo i feedback esisterebbe la possibiltà di impartire uno “switch” di tipo ‘-c’ sui cgi, in modo tale da puntare (ed utilizzare) un altro file di configurazione.
A seguito di ciò potrebbe essere possibile per un attacker far puntare htsearch verso un file come ‘/dev/zero’ e mandare il server in loop e quindi generare anche un effetto di tipo Denial of Service. Inoltre sarebbe possibile anche effettuare altri interventi su vari file di sistema.

Citrix MetaFrame è un application server che lavora con i Windows Terminal Services.
La vunerabilità in questione è in grado di causare un crash di sistema ( che si manifesta con un blue screen)al quale è possibile porre rimedio esclusivamente con un restart del sistema stesso. Non è necessario un accesso locale alla struttura per “exploitare” la vulnerabilità (fonte iss – internet security systems).
Andando nel dettaglio, sarebbe possibile per un attacker intraprendere una serie di sessioni di tipo fake (fasulle), con un obiettivo (target server) simulando il protocollo utilizzato nella comunicazione tra il MetaFrame client ed il server. Esisterebbe un numero massimo di connessioni possibili (tra l’altro gestite con l’ausilio di un crittosistema) al termine delle quali verrebbe causato il crash.

Cisco Secure PIX Firewall ha un’autenticazione denominata “AAA authentication”, introdotta nella versione 4.0 del prodotto. Detta feature sarebbe vulnerabile ad un attacco di tipo Denial of Service (DoS), consequenziale all’autenticazione di un utente. La vulnerabilità in questione sarebbe relativa a determinate configurazioni, pertanto si consiglia di verificare se il proprio file di configurazione contenga la stringa:

pixfirewall# aaa authentication …

Cisco Secure PIX firewall ha una feature denominata “mailguard”, che limita determinati comandi (specificati dall’utente) correlati al traffico SMTP. Una vulnerabilità recentemente segnalata dal supporto tecnico cisco consentirebbe di bypassare detta protezione.
Per quanto riguarda le piattaforme vulnerabili, allo stato attuale, IOS Firewall feature non dovrebbe essere vulnerabile.
L’impatto specifico segnalato è che l’attacker potrebbe essere in grado di fare information gathering sugli account di posta esistenti ed altre operazioni similari.

é stato recentemente segnalato un problema in VPN-1/FireWall-1 Management Server, su piattaforma Windows NT/Windows 2000. Un amministratore con intenti negativi può exploitare un buffer overflow nel meccanismo di autenticazione basato su GUI per eseguire del codice arbitrario.
Detto attacco può provnire da un indirizzo IP esplicitamente definito come GUI Client autorizzato.
Ricordiamo che ad essere a rischio sono “solo” le management stations con Windows NT/Windows 2000 .

Aumentano in comunità le segnalazioni relative ad attacchi su IIS, generati da un numero molto ampio di indirizzi IP . Le macchine predette stanno utilizzando un’ ampia serie di attacchi che cercano di exploitare la già nota vulnerabilità “.ida”.
La provenienza degli attacchi è attualmente identificata nella posta elettronica e network in generale.
Per quanto riguarda la prima possibilità, si invita a fare attenzione alle email con attachment denominato README.EXE, mentre, se proveniente dalla rete, è possibile trovare sui propri box IIS una serie di entry di log simili a quelli di codeRed2 ma molto più ravvicinati nel tempo.
Allo stato attuale non si hanno ulteriori notizie. Come workaround si consiglia, in attesa del rilascio di soluzioni a livello IDS/Antivirus Gateway, di tenere sotto controllo l’attività di TFTP (porta UDP69), utilizzato dal worm per scaricare da una macchina verosimilmente già compromessa, una dll denominata ADMIN. Detta operazione deve essere effettuata con attenzione soprattutto sulle macchine Win2000, che implementa una protezione sull’eseguibile tftp.exe.
A livello di cronaca, da segnalare che le prime stime parlano di oltre 11 milioni di macchine infettate nel mondo e che, in clima di fobia antimusulmana, ai terroristi arabi sarebbe stata fatta salire anche la responsabilità della diffusione del virus.

Aumentano in comunità le segnalazioni relative ad attacchi su IIS, generati da un numero molto ampio di indirizzi IP . Le macchine predette stanno utilizzando un’ ampia serie di attacchi che cercano di exploitare la già nota vulnerabilità “.ida”.
La provenienza degli attacchi è attualmente identificata nella posta elettronica e network in generale.
Per quanto riguarda la prima possibilità, si invita a fare attenzione alle email con attachment denominato README.EXE, mentre, se proveniente dalla rete, è possibile trovare sui propri box IIS una serie di entry di log simili a quelli di codeRed2 ma molto più ravvicinati nel tempo.
Allo stato attuale non si hanno ulteriori notizie. Come workaround si consiglia, in attesa del rilascio di soluzioni a livello IDS/Antivirus Gateway, di tenere sotto controllo l’attività di TFTP (porta UDP69), utilizzato dal worm per scaricare da una macchina verosimilmente già compromessa, una dll denominata ADMIN. Detta operazione deve essere effettuata con attenzione soprattutto sulle macchine Win2000, che implementa una protezione sull’eseguibile tftp.exe.

Aumentano in comunità le segnalazioni relative ad attacchi su IIS, generati da un numero molto ampio di indirizzi IP . Le macchine predette stanno utilizzando un’ ampia serie di attacchi che cercano di exploitare la già nota vulnerabilità “.ida”.
La provenienza degli attacchi è attualmente identificata nella posta elettronica e network in generale.
Per quanto riguarda la prima possibilità, si invita a fare attenzione alle email con attachment denominato README.EXE, mentre, se proveniente dalla rete, è possibile trovare sui propri box IIS una serie di entry di log simili a quelli di codeRed2 ma molto più ravvicinati nel tempo.
Allo stato attuale non si hanno ulteriori notizie. Come workaround si consiglia, in attesa del rilascio di soluzioni a livello IDS/Antivirus Gateway, di tenere sotto controllo l’attività di TFTP (porta UDP69), utilizzato dal worm per scaricare da una macchina verosimilmente già compromessa, una dll denominata ADMIN. Detta operazione deve essere effettuata con attenzione soprattutto sulle macchine Win2000, che implementa una protezione sull’eseguibile tftp.exe.

Le seguenti piattaforme di dettaglio risultano essere a rischio:

Gauntlet for Unix versione 5.x
PGP e-ppliance 300 series versione 1.0
McAfee e-ppliance serie 100 e 120
Gauntlet for Unix versione 6.0
PGP e-ppliance 300 series versioni 1.5, 2.0
PGP e-ppliance 1000 series versioni 1.5, 2.0
McAfee WebShield per Solaris v4.1
Il buffer overflow coinvolge i demoni smap/smapd e CSMAP daemons, responsabili della gestione del traffico di posta elettronica sia per il traffico inbound sia per quello outbound.
A seguito dello sfruttamento di questo problema un intruder remoto può eseguire del codice con i privilegi del deamon “incriminato”.
Come lo stesso advisor sorgente afferma, inoltre, i tool di protezione perimetrale hanno spesso delle relazioni di fiducia (trust relationship) con altri dispositivi di rete. Compromettere un firewall potrebbe significare utilizzare quest ultimo come launch pad.
Si consiglia di installare subito la patch messa a disposizione dal vendor.

Il team di sviluppo di Mandrake ha segnalato l’esistenza di un buffer overflow nel modulo xli, a causa di un mancato tipo di controllo denominato “boundary check”. Il Buffer overflow può essere sfruttato da un external attacker per eseguire comandi arbitrari sulla macchina target. L’ exploit è disponibile pubblicamente. Per notizia ricordiamo che xli è un image
viewer che viene utilizzato dal Browser Netscape per visualizzare i formati grafici come TIFF, PNG, e immagini
Sun-Raster .
Anche il pacchetto denominato xloadimage utilizza lo stesso codice di xli; per questo è da ritenersi altrettanto vulnerabile.