Cerca nel blog

2010/01/20

Zio Ballmer e il Baco Quasi Maggiorenne [UPD 2010/01/21]

Questo articolo vi arriva grazie alle gentili donazioni di "g_giamma****" e "maurat****". L'articvolo è stato aggiornato dopo la pubblicazione iniziale.

Come se non bastassero i guai con Internet Explorer, adesso sbuca anche una falla che è presente in tutte le versioni di Windows prodotte dal 1993 in poi. C'è in XP, Server 2003, Vista, Server 2008 e in Windows 7. E permette a un utente non privilegiato di iniettare codice direttamente nel kernel del sistema operativo. Ops.

Il problema risiede nella Virtual DOS Machine di Windows, come spiegato in dettaglio nell'annuncio pubblicato da Tavis Ormandy. Che lavora per Google. Volendo essere malizioso, direi che Google sta facendo i dispetti a Steve Ballmer.

Ormandy scrive di aver avvisato formalmente Microsoft del problema a giugno del 2009 e di aver tenuto segreta la scoperta della vulnerabilità, ma visto che i mesi passano e il problema non viene risolto, ha deciso di fare un annuncio pubblico.

Fortunatamente il baco è facilmente eliminabile disattivando i sottosistemi MSDOS e WOWEXEC, che di solito non servono comunque (servono per le applicazioni vecchie DOS e Windows 3.1 a 16 bit). Non ci sono attacchi noti in corso che sfruttino questa falla, ma probabilmente è questione di tempo.

Altre fonti: The Register.


2010/01/21


Microsoft ha confermato la vulnerabilità in Windows 2000 SP4, Windows XP SP2 e SP3, Windows Server 2003 SP2, Vista, Vista SP1 e SP2, Windows Server 2008 a 32 bit (anche con SP2) e Windows 7 a 32 bit. L'advisory di conferma include anche le istruzioni su come rimediare. Secondo Microsoft, la falla è sfruttable soltanto se l'aggressore ha credenziali di logon valide ed è in grado di fare logon localmente, ma non è sfruttabile da remoto o da utenti anonimi: in tal caso, la probabilità di attacchi significativi è abbastanza scarsa.

24 commenti:

Pax ha detto...

Bello eh?

Jacopo ha detto...

Questa e' troppo divertente per non riportarla: mettere uno sfondo di un unico colore puo' allungare di una trentina di secondi i tempi di boot di Windows 7.

http://support.microsoft.com/kb/977346

Anonimo ha detto...

la notizia non è completa: sono vulnerabili solo le versioni a 32bit :)

fred84 ha detto...

eh, e come si disattivano i sottosistemi?

@riobard: non è del tutto vero. nella segnalazione c'è scritto che quelli sono ritenuti a rischio, il test su altre macchine è lasciato "al lettore interessato come esercizio"

L'economa domestica ha detto...

Il gatto rosso che fa photobombing è il valore aggiunto a questo articolo!!!

root ha detto...

@fred84

Sinceramente è giusto che la cosa non funzioni questa roba su Windows a 64bit. Le versioni a 64bit non sono in grado di eseguire codice a 16bit (se non eventualmente tramite macchine virtuali, ma non possono fare lo switch del processore dal Long Mode al Real Mode).

MSDOS inoltre non è più presente in Windows NT, l'intero sistema è stato ricreato da zero e progettato ben prima del tempo di Windows 9x, ed il sottosistema DOS non è assolutamente presente. Quel che è presente, invece, è un la NTVDM (NT Virtual DOS Machine), come anche spiegato nell'articolo. Di nuovo, i sistemi a 64 bit non includono nemmeno la NTVDM, quindi il problema non si pone per i possessori di questi sistemi.

Rimuoverla o meno non è una scelta così immediata: la minaccia non sembra essere così grave, anche perchè immagino che si debba eseguire volontariamente un programma su sistemi a 32bit per poter permettere ai programmi di sfruttare la falla, ed in ogni caso se l'utente è amministratore ed esegue del malware potrebbe fare molti più danni. Considerando la graduale migrazione a sistemi a 64bit (ormai, a parte alcuni modelli degli Atom, tutti i processori sono a 64bit), quindi non sarebbe nemmeno conveniente per Microsoft risolvere il problema nel caso fosse troppo complicato o costoso.

FridayChild ha detto...

Mi sfugge una cosa: la falla esiste dal 1993 e non sono mai stati sferrati attacchi - che si sappia - che la sfruttino? Mi suona un pelino inusuale.

Anonimo ha detto...

Stavolta potremmo anche scagionare la Microsoft: se parliamo di rischio, questo è dato dalla pericolosità dell'evento moltiplicato per la probabilità di accadimento dello stesso; supponiamo che la pericolosità sia alta, ma, dato che il problema esiste dal 1993 e non era mai saltato fuori (così sembra) fino ad oggi, la probabilità era zero, quindi il rischio zero.

Supponiamo che gli sviluppatori di Microsoft siano tutti saturi a risolvere "bachi", la scelta di non intervenire per un problema con rischio zero, ci può stare, vista la mancanza di risorse.

Ovviamente tutto il mio discorso sopra non vale più dal momento che la cosa è stata divulgata al mondo intero.

puffolottiaccident ha detto...

Ma qualcuno usa la virtual DOS machine di windows per farci girare dei programmi "antichi"? Personalmente mi sono rassegnato all´idea che se non funziona su una "macchina windows" non funzionerá neanche sulla "virtual DOS machine" di quella stessa macchina, quindi in generale consiglio di non provarci neanche e di affidarsi a dosbox.

Mousse ha detto...

A quanto so io, le "ultime" versioni (da 2k in su) non hanno nemmeno più command.com...

Ma siamo sempre lì: qualsiasi sistema operativo è attaccabile e ci sono sempre modi per eseguire codice con privilegi elevati.. Anche in *nix. Basta "attaccare" a del codice lecito che gira coi privilegi voluti del codice aggiuntivo.

Il fatto è che un sistema operativo moderno ha dei metodi per impedire la sovrascrittura delle porzioni di memoria già allocate da parte dei programmi, coi nuovi processori questa cosa è stata addirittura implementata nella CPU stessa. Anche perchè la cosa può non essere intenzionale (overflow o codice scritto male) e se non lo è provoca il crash del sistema.

FridayChild ha detto...

Non hanno command.com perche' hanno cmd.exe ;)
Ma qui non si parla di prompt dei comandi ma di ambiente DOS (virtuale).

Phantoz ha detto...

La foto è tremendamente esplicativa!

Federico ha detto...

Mi sfugge una cosa: la falla esiste dal 1993 e non sono mai stati sferrati attacchi - che si sappia - che la sfruttino? Mi suona un pelino inusuale.

E' strano e controintuitivo, però è la norma.
I bug conosciuti e sfruttabili per attaccare un sistema sono una infinitesima parte di tutti i bug che ci sono per davvero!

Patafrulli ha detto...

Anche se è OT, devo dirlo:
i tuoi gatti sono sempre spettacolari, Paolo!!!

Smiley1081 ha detto...

"Questa e' troppo divertente per non riportarla: mettere uno sfondo di un unico colore puo' allungare di una trentina di secondi i tempi di boot di Windows 7."

"Questo articolo riguarda una versione di Windows diversa da quella attualmente in uso. Il contenuto dell'articolo potrebbe quindi non essere rilevante.Visita il Centro di supporto di Windows XP"

Ehi, non vale, lo voglio anche io!

FridayChild ha detto...

@Federico: certo, ma e' la prima volta in vita mia che sento di una vulnerabilita' passata inosservata per *17 anni*! E mi chiedo perche' sia stata scoperta solo ora.

Slowly ha detto...

"Il gatto rosso che fa photobombing è il valore aggiunto a questo articolo!!!"

E' vero!!!

Mi ha accalappiato così tanto che non ho letto niente.

:D

root ha detto...

@FridayChild

Beh può sempre succedere, soprattutto se il codice è obsoleto e non più mantenuto è facile che vecchi bachi passino inosservati per anni.

Basta pensare al casino che è stato fatto con progetti open source, come OpenSSL su Debian che ha avuto per anni un baco che ha reso tutte le chiavi facilmente recuperabili non essendo del tutto casuali.

Non importa alla fine quanta gente guarda quel codice, spesso i bachi assumono un'aura mistica. Mi è successo spesso di veder cose strane succedere su macchine ben precise e di non poer replicare lo stesso problema su altre macchine con hardware e software identici.

In ogni caso sembra come al solito una buona scusa per creare notizia. Già i media ci stanno mangiando sulla falla di IE8 che, sinceramente, non sta creando danni (e Microsoft dovrebbe rilasciare a breve l'aggiornamento per risolverla).

Per quanto riguarda command.com, quello era un componente DOS presente ancora fino a Windows Me (essendo i sistemi Win9x basati su DOS). Windows NT non ha mai avuto quel componente fin dalla sua prima versione, essendo in se un sistema operativo completamente differente dalla serie Win9x. Esiste un emulatore della linea di comando DOS, cmd.exe, ma non è un emulatore completo ed è totalmente indipendente dal resto del sistema (o meglio, nessuna componente di sistema lo richiede).

Replicante Cattivo ha detto...

Visto che non voglio insozzare il post su Buzz Aldrin, segnalo qui l'ultimo post di Perle Complottiste che parla di due ragazzi che si sono laureati con una tesi sul signoraggio (una delle due fa anche riferimento al NWO), con sommo piacere onanistico da parte dei complottisti.

Vittorio ha detto...

Vista, e mi è venuto da vomitare al pensiero che questi sono il futuro dell'Italia e che esistono professori che hanno messo l'imprimatur su tesi simili.

Elena ``of Valhalla'' ha detto...

@Replicante Cattivo

In realta` ci si e` sbagliati e sono tesi in sociologia o qualcosa del genere, il cui scopo e` studiare le reazioni a tesi che parlano di argomenti assurdi, vero?

Oppure sono opere di pura creazione letteraria, in cui gli autori si sono sfrozati di imitare anche le competenze linguistiche del complottista medio, ma hanno solo scopo ricreativo?

O nella peggiore delle ipotesi e` pubblicita` del nuovo romanzo di Dan Brown.

Lasciatemi illudere che ci sia speranza per il mondo O:-)

Anonimo ha detto...

Per Replicante Cattivo

Io quella tesi di laurea ho cominciato a leggerla per curiosità, e tutti mi pare fuorché un testo complottista. Da quel poco che ho capito, e di economia confesso che capisco davvero poco, cerca di spiegare che cosa sia il vero signoraggio secondo la moderna economia e la giurisprudenza. E per farlo, parte dalle sciocchezze disseminate qua e là anche dalla stampa cosiddetta seria sul signoraggio nel senso abusivamente utilizzato dai complottisti: fuor di metafora, le teorie di controllo dell'economia mondiale da parte degli ebrei.

Che questa tesi di laurea sia un pot-pourri di tante cose diverse siamo d'accordo; che però sostenga le accuse assurde di siti gestiti da spostati, mi pare proprio un'esagerazione.

Mousse ha detto...

@Paolo Attivissimo: il workaround suggerito dall'articolo del sito Microsoft non funziona sulle edizioni "Home" dei sistemi operativi Microsoft perchè gpedit non è supportato, cosa che continuo a ritenere una tavanata galattica...

Mi viene quasi voglia di modificare il file identificativo del disco e installare l'edizione Ultimate di 7.

FridayChild ha detto...

Dovrebbe essere fattibile anche via regedit su qualunque versione di Windows.