0-day varnostna napaka v MS Word

Kaj tocno ta doc file lahko naredi, kaj ne more, v kakih okoliscinah lahko in v kakih ne more itn. nevem. Pa tudi dvomim, da je kaj vec zanega v janvosti. Zaenkrat.
Jst sem nasel se samo to, da je drugo pogosto ime za dokument PLANNINGREPORT5-16-2006.doc. Spet postavis filter za doc file s taksnim imenom in je spet busted.

Pa prej sem hotel pac povedati par stvari, da paniko, ki jo delate, je neupravicena. Zaenkrat so napadi usmerjeni na velika podjetja in vladne organizacije, poleg tega se je z nekaj informaranja mozno zavarovati pred tem napadom ali pa vsa omiliti ter odkriti racunalnik, ki je bil uspesno okuzen.
Pa tudi to, da nekak ne prenasam blesavih komentrajev ala Word sux, ker take stvari mi pac ne zdrzijo neke normalne logike, pa sem moral pokomentirati.

Pa tisti, ki me ali se sprasujete kaj je backdoor, rootkit itn. pobrskajte po internetu. Ni tezko.


by Miha

o_O

A se eni tukajle še niste naučili, da program brez ranljivosti sploh NE obstaja?
Ranljivi so vsi, je pa res da se z večino nihče ne ukvarja, tako da se ranljivosti ne razkrije (oz. se sploh ne išče).
MS programi so seveda idealni za "raziskovanje", ker so v masovni uporabi in se pač splača iskat exploite zanje.

Lep primer je bil FF (FireFox). Se spomnim ko je bila zadevščina zelo nova, si lahko mirno surfal POVSOD, ker je bilo vse prilagojeno za IE. V današnjih časih, ko pa 20% lolekov že uporablja ta umotvor, pa so tudi exploiti za FF precej bolj pogosti na netu. Ko/Če bo FF presegel deleže IE-ja, se zna zgodit da bo FF postal "bolj ranljiv" od IE-ja...

Saj me kar čudi da branim MS, ampak dejstva so dejstva.

Looooka:
pa pizda človek tega ne more brat. Nauči se pisat krajše stavke z ločili. Proklet šolski sistem v kurcu.

Looooooka to ni novica o linuxu. In da večina povprečnih uporabnikov laufa windowse pod administratorskim računom je dejstvo.

MS
Kaj tocno ta doc file lahko naredi, kaj ne more, v kakih okoliscinah lahko in v kakih ne more itn. nevem.

Tudi jaz ne in me niti ne zanima. Dovolj je da se lahko v doc file spravi rootkit. V rootkit pa vse kaj intrudrer potrebuje.

Če so zaenkrat napadi usmerjeni samo na velika podjetja in vladne organizacije še ne pomeni da bo tako tudi ostalo. Postaviti filter na PLANNINGREPORT5-16-2006.doc ? Preimenovati file je pa ja najlažja stvar.

Glede spraševanja sam si napisal:

Ne, rootkit je program, ki se skrije pred antivirusnimi programi, njegove aktivnosi ne vidis v logih, ne vidis ga med folderji/fajli itn. Poleg tega lahko imas rootkit tudi recimo v bazi.

kar pa ni čisto točno na kar sem hotel tudi opozoriti.



Looooooka
"povprečni" uporabniki linuxa ne laufajo/laufamo pod root accountom. Za to ni nobene potrebe ker vsi uporabniški programi dobro delujejo tudi brez tega. Rootkitov nimam nobenih (pregledano včeraj z dvema za to namenjenima programoma), geslo za root je zelo drugačno kot "root" , telnet in ssh dostop pa je onemogočen. Hmm, pa še vedno sem povprečni uporabnik linuxa. Čudna reč.

mene pa zanima ali ta .doc dokument lahko tudi okuzi racunalnik ce ta uporablj OpenOffice in ne microsoft office? a ta zlobna koda deluje na nivoju samega zapisa doc datoteke ali na nacinu kako MS word prebavi dolocene stringe?

heh, ja tut urejevalnik besedila mora imeti dostop za pisanje po disku.. potem je pa kaksna varnostna napaka v njem da ga preprica da zazene kaj drugega, kot bi sicer kaksen svoj podprogram ali kaj podobnega.. na vsemu se da najti varnostne pomanjkljivosti, vprasanje je samo koliko se isce kje...

pisanje po disku in zaganjanje kode je "malce" drgacna stvar, se ti ne zdi?
sploh pa kode, ki se nahaja v datoteki, v kateri nima kaj iskat

ZELO ZELO offtopic (iz Firefoxovega FAQja; na tej temi je bil ta izdelek že omenjen (z napačno zapisanim imenom) in ker mnogo ljudi tega ne ve):
Firefox is spelled F-i-r-e-f-o-x - only the first letter capitalized (i.e. not FireFox, not Foxfire, FoxFire or whatever else a number of folk seem to think it to be called.) The preferred abbreviation is "Fx" or "fx".

Looooooka: ti se kr prjav na use rss feede. slej al prej boš pogruntov da večina linux lukn k se jih najde tm gor so javno objavljene ob izdaji popravka. zanimivo ne? poleg tega imajo sodobne distribucije programe kot so naprimer APT, Yast ali emerge, ki inštalirajo programe in skrbijo za update. Torej to pomeni da lahko z komando ali dvemi (oz ustreznim številom klikov) updataš cel sistem uključno z usemi programi. in ker se lukne popravljajo zelo hitro to pomeni da imaš secured in updejtan sistem praktično takoj.
BTW: a zdj povprečn uporabnik linux uporablja tut irc in prek njega dobi rootkite? ja seveda. dj pejt ti enkrat na irc na kšn velk kanal pa sprejmi datoteke k jih folk pošilja.to vajo nared z linuxom in z windowsi pa prosm sporoč rezultat.
drugač pa usaka sodobna distribucija zahteva da narediš enega ne-root uporabnika. poleg tega je ssh po defaultu zaprt. aja pa telnet se že dolgo časa ne uporablja več za dostop do linux sistemov.

Priporočam da si pred naslednjim takim izpadom pogledaš kšno linux distribucijo, ki ni stara 10+ let

Ta dva linka, ki si jih dal, sta ze totalno stara. Na celi crti.

Poleg tega bi te prosil, da malo vec napises, zakaj je blokiranje priponke na serverjih neumna stvar? Kaj je pri tem tako slabega, da bi to odsvetoval? Kaksni so tvoji predlogi za ukrepe, da se zavarujes pred moznimi zlorabami v tem konkretnem primeru?

Ter, daj se malo podkrepi konec enega tvojih stavkov:
..., ki lahko pocne prakticno karkoli.
Velja to samo za tistega, ki je prijavljen kot admin ali za vse? Kaj so te "prakticno katereklo stvari"? To pomeni, da lahko User zmodificira cel register? Da ne? Itn.

Ker sumim, da so na obzorju nove buce, pa me zanima, ce se motim ali ne.


by Miha

Hehe , dobra da še vedno uporabljam Besedo '97

Poleg tega se po inštalaciji win xp poleg "default uporabnika" ustvari še en admin account (Administrator) [zaženi "lusrmgr.msc" -> Users] ...

Miha,

> Poleg tega bi te prosil, da malo vec napises, zakaj je blokiranje priponke na
> serverjih neumna stvar?

Ker je to Security Through Obscurity. Ce ti to ni jasno, potem spakiraj kufre in se odpelji iz 'security' podrocja, ker nimas tukaj kaj iskati.

> Kaj je pri tem tako slabega, da bi to odsvetoval?

Odsvetoval v bistvu ne, ker, kot kaze, je to edina resitev v full-blown windows okolju.

> Kaksni so tvoji predlogi za ukrepe, da se zavarujes pred moznimi zlorabami v tem
> konkretnem primeru?

Ne mores se. In to ni edini tak primer Microsoftove varnosti. A ti je zdaj jasno, zakaj nekateri tako vneto trdimo, da MS sux kar se tega tice? Na varnost sele zdaj gledajo, kakih 10 let prepozno.

"Jaz pa klikam samo na priponke, ki mi jih šef "pošlje" - oz. izgleda, da so prišle od njega."

Se strinjam z Izijem. Delam v informatiki v podjetju, kjer imamo na vseh mašinah Win2000/XP in imamo vsi admin accounte. Smo poskusili delat navadnimi User accounti, pa so razni tehnični direktorji takoj zagnali vik in krik, ker razvoj enostavno ni mogel delat. CAD programi, pa razna RAD okolja zahtevajo admin dostop, brez pogajanja. ERP, ki nam laufa na večini mašin, dela 90% časa na User accountu OK, v ostalih 10% pa onemogoča delo. Zdaj pa daj ti računovodkinji, ki mora nujno poslati neke podatke na AJPES uporabniški račun, pa ti bo glavo odtrgala, ko ji bo začel IS vračat neke kriptične errorje.

Saj vsega ni kriv Microsoft, v bistvu so programi pisani tako, da iz neznanih razlogov rabijo admin dostop. Ampak, v ozadju tega problema pa dejansko je MS, ker je zares 10 let prepozno začel razmišljati o varnosti in programerske hiše posledično navadil, da lahko delajo po operacijskem sistemu in po mreži kar hočejo. In, roko na srce, večina uporabnikov sploh ne ve, da si ob inštalaciji windows sploh podelijo Admin account, ampak enostavno kar klikajo. No, seveda je to problem ignorantskega odnosa uporabnikov, ampak je pa to začaran krog - nekatere velike softwerske hiše svojega programja še dolgo ne bodo začele pisati tako, da bo delal brez admin pravic, ker itak množica windows uporabnikov dela kot admin. In poteza je na Microsoftu, tako kot so to storili z Windows Firewallom v SP2: Od začetka veliko programov ni delovalo, ker so bili pač šlampasto napisani. Zakaj? Ja, zato, ker jih ni bilo treba pisati bolje, saj je itak delovalo... Po parih mesecih od pojava SP2 za XP-je, so lahko vsi programi začeli delati normalno.

Skratka, uporaba user accounta v poslovnih okoljih, ki delujejo na Windows, je še kako omejena z obstoječimi aplikacijami, vodstvu podjetja je pa (žal?) na prvem mestu efektivnost zaposlenih, kar posledično pomeni več prometa, več dobička in debelejše denarnice managerjev... Varnost IS je na vrsti šele potem.

Admin dostop za poganjanje programov je zapuščina win9x sistemov, kjer so imeli programi neomejen dostop do sistemskih datotek, ker sistem ni poznal pravic dostopa in podobnih zadev. In pisci programja so to veselo "upoštevali", zdaj pa ta zapuščina marsikje onemogoča varno poganjanje programov. Eni pač ne lavfajo brez admin dostopa...čeprav tu se da rešit marsikaj z Run As. Ni treba lih zaradi enega programa riskirat varnosti celotne mašine. Al pa jo prepustit na milost/nemilost pametnemuuporabniku™.

To je res. Samo vsaj ni računalo nonstop v "dangermode..." in pol recimo luknje v ostalih programih niso več potencialno uporabne.

Samo vsaj ni računalo nonstop v "dangermode..." in pol recimo luknje v ostalih programih niso več potencialno uporabne.

Ja, vsekakor je to velik korak naprej, če bi se večina uporabnikov na to navadila.

@ Daedalus: Se strinjam, da bi to rešilo del problemov. Mislim, da smo to celo poskusili, ampak so se potem naši razvojniki začeli prijavljati kar pod admin accountom, ker so itak poznali geslo. Saj skoraj ne moreš verjeti, ker so to računalniško opismeni ljudje... Ljudje pač delamo tako, kot nam je lažje.

Seveda je potem varianta, da napišeš skripto za zagon programa pod admin pravicami, samo to ne spremeni dejstva, da je izvirni greh še vedno pri Microsoftu. Poleg tega se pojavi problem, ko hočeš stvar zagovarjati pri vodstvu podjetja, pa ne vidijo smisla. Njihovo razmišljanje je pač tako, da če uporabljaš 90% časa le en program, ki itak zahteva admin pravice, potem nima smisla, da privzeto delaš z accountom navadnega userja. In iz stališča storilnosti jih celo razumem.

Programov, ki niso delali, je bilo pa kar nekaj. Sicer se jaz s tem nisem ukvarjal, ampak če se prav spomnim, so bile to razne verzije AutoCADa, Inventor 3D, pa če se ne motim Delphi, Visual Studio (ne bom dal roke v ogenj). Imeli smo probleme tudi z nekimi komponentami Inventorja 3D, mislim da z bazo 3D elementov, ki je inštalirana na eni izmed grafičnih postaj.

Valjda se vse da konfigurirati, nastavit, da določeni servisi tečejo z Admin pravicami, samo to ni to. Linuxa sicer ne uporabljam in ne poznam kaj dosti, ampak menda tam vse, kar mora delat pod user accountom, tudi dela. Zakaj Polkna ne morejo tega tako urediti, je beyond me...

Microsoft, sem celo našel en članek tipa "Use an administrator account ...", http://support.microsoft.com/kb/q285909/, ampak saj to niti ni toliko pomembno. Stvari bodo precej boljše, ko bo množica programov, ki zahtevajo admin account, zelo majhna.

Ziga Dolhar:

> Zmožna je iskanja ter spreminjanja datotek na okuženem računalniku, spreminjanja registra, upravljanja s procesi, računalnik lahko tudi zaklene ali ponovno zažene.

O lej, k nisem prijavljen kot Administrator ...

Vse stvari, ki si jih naštel, je možno delat brez Administratorskih pravic.


Microsoft : Poleg tega sem zasledil, da doc file uspesno naredi to stvar v Word 2002.

A imaš exploit pri sebi ? A je Word 2002 ranljiv ?
Tu sem zasledil kao spisek ranljivih sistemov, samo meni se zdi, da so to kar na pamet napisali : http://www.securityfocus.com/bid/18037

Ziga Dolhar, glede antivirusov (da so "novejši" kot virusi). Aha, zakaj pa se potem vseeno zgodijo outbreak-i ? Ala Melissa itd... ?

Microsoft :

To, da bi Microsoft vzpodbujal, da si prijavljen kot administrator, so vecje buce, kot so kdaj koli zrastle na kateri koli njivi. Tisti, ki so prebrali kako stvar na temo varnost in Microsoft, itak vedo. Ostali pa imajo moznost, da temu verjamejo ali pa se sami preberejo kaj na to temo. Ker je prevec ocitna neumnost, da bi jo spregledal, sem moral pokomentirati.

Torej če je v Windows po defoltu uporabnik član grupe Administators, to ni vzpodbujanje ?
Če programi (MS-ovi) ne delajo (vsaj ne 100%) z ne-admin uporabnikom *, potem to ni vzpodbujanje ?
Saj ni važno kak temu ti praviš, ampak težko si je zamisliti bolj učikovit način "spodbujanja".

*-ja, novejši izdelki so vedno boljši glede tega, ampak to nič ne spremeni v bistvu te debate

Busted

... razen, če je on tebe "busted" že dan prej.

Busted again!!!

Eh, precej ljudi laufa kot admin. Pa če se ti in jaz istočasno na trepalnice vrževa.

tecumseh :

smo koncno dobili pravi malware, ki je preprosto skrit v nekem dokumentu?

Ne, to smo imeli že pred 5-10 leti. Išči "word macro virus".

Microsoft:
(glede http://secunia.com/advisories/20153/ in drugega linka)

Ta dva linka, ki si jih dal, sta ze totalno stara. Na celi crti.

No ja : Release Date: 2006-05-19
A maš ti kaj novejšega ?

kopernik:

Zgolj za informacijo - poznam vsaj tri primere potjetij, kjer so praktično vsi, tudi programerji, prijavljeni z admin accountom. Poudarjam samo zato, da ne boste toliko opletali, kako se folk zaveda, da je potrebno biti prijavljen kot navaden user. Folk se tega NE zaveda.

- PREDVSEM programerji
- eni se zavedajo, ampak "zavedanje" ne bo magično pognalo programe, ki delajo le z Admin pravicami

Za konec pa : http://noadmin.dehttp://noadmin.de
Fourum, kjer imajo spisek programov, ki ne delajo brez admin pravic in triki, kak jih vseeno spravit v pogon.
Hmm, zgleda, da so jih shekali ???
Stara vsebina je še vedno dostopna v spletnem arhivu : http://web.archive.org/web/*/http://noadmin.de (klikni na datum, da vidiš stran iz tistega dne)

Po moje bi v Windowsih rabil sudo ukaz. Bi znalo biti precej uporabno.

> pecorin in BigWhale, a na blokiranje *.doc fajlov, ki pridejo iz interneta, sta
> pomislila? Ali pa na to, da blokiras *.doc samo v tistih mejlih, ki pridejo od
> zunaj, pa imajo from @lastnopodjetje.com? Ali pa na blokiranje *doc.doc ter
> COMPANIPLAN* ?

> To se vse da, ane.

Vsekakor se da ampak ti ne razumes, da to ni security. Po katerem kljucu bos pa uganjeval katera imena attachmentov so sporna? To je nastavljanje vedra pod streho, ki pusca namesto, da bi stresnik zamenjal, ce je ze zlomljen. Se bolje bi pa bilo zamenjati kar celo streho.

Res, preberi si, kaj je security thru obscurity. To zgoraj spada v to kategorijo, verjetno je to edina kolikor toliko pametna resitev tega problema v danem trenutku ampak daj si dopovedati, da je to traparija. Ze to, da je cela zasnova sistema taksna, da to omogoca je retardirano (ne, nikjer nisem trdil, da je GNU/Linux, KDE, OSX, whatever, bolje zasnovan). Ne ves tudi, da bi lahko nekdo od zunaj dostopal do mail streznika lastnega podjetja, ter bi zaradi tega imel tako nastavljen from.

Se enkrat, lepo pocasi, da bos zastopil. Prava resitev bi bila takojsnja izdaja patcha, ki stvar popravi. Ja, tukaj, na zalost je response time marsikaterega razvijalca OSS programske opreme precej krajsi.

Prejsnji post pa tudi slucajno ni bil misljen zaljivo. Je pa vseboval precejsenj hint na to, da nekaterih stvari vec kot ocitno ne razumes in kar je se huje se ne pustis, da bi ti drugi dopovedali, da jih ne razumes in da stvar ni taka, kot ti mislis, da je.

Torej, danes bos blokiral *SOMETHING*.doc, jutro *somethingelse*.doc, potem *.doc, potem se *.xls, *.mp3, *.avi na koncu bos pa kar vse attachmente ukinil? Potem pa kar cel mail, ko se bo (spet) nekdo spomnil, da lahko dobi priviledged access do sistema samo s tem, da prav mail napise in userju ga se prebrati ni treba. Je dovolj, da ga samo junk mail parser sprocesira. Se ti to se vedno zdi security?

Dejstvo je da je M$ zanemarjal varnost vse do zadnjih vecjih z virusi povzrocenih skod. Sej imajo napisano v EULA da ne odgovarjajo za nobeno skodo ki bi nastala zaradi zaendrek napisanih programov, ampak to zdaj ni vec dovolj. Ce bo v visti isto sranje kjer vsak program namesca svoje knjiznice v OS in kjer lahko aplikacije laufajo samo pod admin accountom (brez vecjih tweakov) potem to se vedno sux. Ceprav na kocu pridemo do tega stanja ki ga imamo danes. Vsak mesec izda M$ popravke za krpanje svojega OSa. Tako folk vidi samo se napake "na povrsini", ne zaveda pa se da je pod povrsino se huje...