Sitics veckobrev v 02

Här är årets första veckobrev

Nya artiklar

Oracle har börjat ge förvarning om kommande programrättningar (se även under Övrigt nedan)
http://www.computerworld.com/action/article.do?command=viewArticleBasic&taxonomyName=security&articleId=9007898&taxonomyId=17&intsrc=kc_top

Experter tror att Microsoft kommer att ge ut en programrättning för Word utanför programrättningscykeln
http://searchsecurity.techtarget.com/originalContent/0,289142,sid14_gci1238684,00.html

Kritik mot ett programvaruföretag som inte rättar till en produktsårbarhet
http://www.computerworld.com.au/index.php/id;2012194934;fp;4194304;fpid;1

Diskussion om utvecklingen av processen för informationsspridning av sårbarheter verkligen har gjort Internet säkrare
http://www2.csoonline.com/exclusives/column.html?CID=28072

Diskussion om hur juridiska åtgärder gör det svårare att upptäcka sårbarheter och att sprida information om dem
http://www.csoonline.com/read/010107/fea_vuln.html

Schneier om varför full öppenhet vid informationsspridning av sårbarheter är en bra idé
http://www2.csoonline.com/exclusives/column.html?CID=28073

Företag förfalskade sårbarhetsinformation från US-CERT för att förmå reporter att publicera negativ information om konkurrent
http://www.esj.com/storage/article.aspx?EditorialsID=2386

iDefense betalar $8000 till den som upptäcker en kritisk sårbarhet i Windows Vista
http://www.darkreading.com/document.asp?doc_id=114411&WT.svl=news1_1

Certifieringsorganet för WLAN har tagit fram en mer lätthanterlig säkerhetsspecifikation
http://www.techworld.com/security/news/index.cfm?newsID=7718&pagtype=samechan

Nytt phishingverktyg för man-in-the-middle-attack till salu på nätet
http://www.scmagazine.com/uk/news/article/625386/make-own-man-in-the-middle-attack-online-kit-found/

UK: Kritik från branschorganisationer mot IT-kriminalpolisen; vi får ingen hjälp
http://news.zdnet.co.uk/security/0,1000000189,39285391,00.htm

USA: Nya lagar tvingar företag som har WLAN-access att vidta säkerhetsåtgärder
http://www.networkworld.com/news/2007/010807-unprotected-wifi-security-laws.html

USA: Arbetskonflikt ledde till intrång i trafiksystem och nedstängning av trafikljus
http://www.scmagazine.com/uk/news/article/625180/los-angeles-city-employees-charged-hacking-traffic-lights-labor-dispute/

Övrigt i veckan

Microsoft publicerade rapporten Fundamental Computer Investigation Guide for Windows
http://www.microsoft.com/downloads/details.aspx?familyid=71b986ec-b3f1-4c14-ac70-ec0eb8ed9d57&displaylang=en&tm

KBM blir Sveriges representant i CCRA (Arrangement on the Recognition of Common Criteria Certificates in the field of Information Technology Security)
http://www.krisberedskapsmyndigheten.se/templates/Archive____8456.aspx

Nästa vecka: Oracle släpper på tisdag sammanlagt 56 programrättningar med högsta CVSS-basvärde på 7,0
http://www.oracle.com/technology/deploy/security/critical-patch-updates/cpujan2007.html

Nya Särskilda råd från Sitic

HP Open View - Säkerhetsproblem i Network Node Manager
Ett säkerhetsproblem i form av en buffertöverflödning har upptäckts i HP Open View Network Node Manager. För att utnyttja sårbarheten krävs att en angripare skickar specialformaterade paket till det sårbara systemet, vilket kan leda till att kod kan köras med samma privilegier som det sårbara programmet. (SR07-013)

CA - BrightStor ARCserve sårbar för buffertöverflödning
Ett flertal sårbarheter har upptäckts i CA BrightStor ARCserve Backup. Sårbarheterna som är av typen buffertöverflödning återfinns i "Tape Engine"- och "Message Engine"-tjänsten samt Mediasrv. En angripare kan utnyttja sårbarheterna genom att skicka specialkonstruerade paket till RPC-gränssnitten. Ett angrepp kan resultera i exekvering av godtycklig kod med SYSTEM-rättigheter. (SR07-012)

*Snort - Sårbar för en tillgänglighetsattack*
Randy Smith, Cristian Estan och Somesh Jha från University of Wisconsin-Madison har identifierat en säkerhetsbrist i intrångsdetekteringssystemet Snort. Genom att skicka specialformaterade paket till ett nätverk som intrångsdetekteringssystemet lyssnar på, kan Snort luras att konsumera 100% processorkraft. Systemet blir du så pass upptaget att det slutar att behandla andra paket på nätverket. (SR07-011)

Apple, FreeBSD - Mac OS X DMG sårbarhet i UFS FFS_MountFS
LHM från MOAB har hittat en sårbarhet i sättet UFS monterar en DMG-image. Om en angripare lurar en användare att besöka en hemsida eller på något annat sätt får användaren att montera en specialformaterad DMG-image, kan kod exekveras på maskinen med fullständiga systemrättigheter (kernel-level privileges). Systemet kan också krascha (DoS) om denna sårbarhet utnyttjas. Det finns för närvarande ingen säkerhetsuppdatering som adresserar denna säkerhetsbrist. Som en tillfällig lösning rekommenderar MOAB att stänga av "öppna säkra filer" (Open safe files) i Safari. (SR07-010)

Adobe - sårbarhet i Adobe Reader
Piotr Bania har hittat en sårbarhet i PDF-läsaren Adobe Reader. Denna sårbarhet går att utnyttja för att exekvera kod på ett sårbart system. För att denna sårbarhet ska kunna utnyttjas krävs det att användaren luras att öppna ett specialformaterad PDF-dokument, innehållande skadlig kod. Denna kod exekveras då på systemet med samma rättigheter som de innehas av användaren som öppnade PDF-dokumentet. (SR07-009)

Kerberos - sårbarheter i kadmind
Andrew Korty vid Indiana University har upptäckt två sårbarheter i MIT Kerberos. Sårbarheterna, som beror på otillräcklig minneshantering, rör båda Kerberos administrations-demon (kadmind). Felen återfinns i ett RPC-bibliotek resp. GSS-API mechglue. Sårbarheterna kan medge att en icke autentiserad angripare kan exekvera godtycklig kod på ett sårbart system. Tredjepartsprodukter som nyttjar RPC- eller GSS- API-bilbioteket kan även vara sårbara. (SR07-008)

Microsoft Internet Explorer Vector Markup Language (VML) sårbarhet
Jospeh Moti från iDEFENSE har hittat en säkerhetsbrist i sättet Internet Explorer hanterar Vector Markup Language (VML). Denna sårbarhet kan utnyttjas för att exekvera kod på ett sårbart system, då med samma rättigheter som användaren som startade Internet Explorer har. För att denna sårbarhet ska kunna utnyttjas, krävs det att användaren klickar på en länk, öppnar ett html-formaterat e-postmeddelande eller på något annat sätt luras att öppna en sida med en specialkonstruerad fil. (SR07-007)

Microsoft - Ett flertal sårbarheter i Outlook
Lurene Grenier från Sourcefire och Stuart Pearson från Computer Terrorism har identifierat ett flertal säkerhetsbrister i Microsoft Outlook. Dessa kan bland annat utnyttjas för att exekvera kod på ett sårbart system, då med samma rättigheter som användaren. För att denna sårbarhet ska kunna utnyttjas, krävs det att användaren klickar på en länk, öppnar ett html-formaterat e-postmeddelande eller på något annat sätt luras att öppna en sida med en specialkonstruerad fil. (SR07-006)

Microsoft - Ett flertal sårbarheter i Excel
Jeff Gennari från CERT/CC, Jie Ma från Fortinet Security Research Team, NSFocus Security Team och Greg MacManus från iDefense Labs har identifierat ett flertal sårbarheter i Microsoft Excel. Dessa sårbarheter kan leda till att kod exekveras på det sårbara systemet om en användare luras att öppna en specialformaterad Excel-fil. Denna kod får då samma rättigheter som användaren som startade Excel har. (SR07-005)

Microsoft - Internet Explorer XML-sårbarhet
Internet Explorer har en säkerhetsbrist i hanteringen av XML-dokument. Denna Michal Zalewski har identifierat en säkerhetsbrist i Microsofts webbläsare Internet Explorers hantering av nästlade XML-dokument. Denna sårbarhet kan krascha webbläsaren (DoS) eller möjligen exekvera kod med samma rättigheter som användaren som startade Internet Explorer har. För att denna sårbarhet ska kunna utnyttjas, krävs det att användaren klickar på en länk, öppnar ett html-formaterat e-postmeddelande eller på något annat sätt luras att öppna en sida med specialkonstruerad kod. Vid skrivande stund finns det ingen säkerhetsuppdatering tillgänglig. (SR07-004)

Cisco – ett flertal sårbarheter i ACS
CESG's Vulnerability Research Group och National Infrastructure Security Co-ordination Centre (NISCC) har hittat ett flertal säkerhetsbrister i Cisco Secure Access Control Server (ACS). Om dessa sårbarheter utnyttjas kan det leda till att kod exekveras på det sårbara systemet (med samma rättigheter som servern körs under) eller att det slutar att fungera (DoS). (SR07-003)

Adobe m.fl. - ett flertal sårbarheter
LMH har rapporterat att ett flertal PDF-läsare har många olika säkerhetsbrister. Dessa säkerhetsbrister kan leda till att kod kan exekveras på ett system som har den sårbara applikationen installerad. För att kod ska kunna exekveras krävs det att användaren öppnar ett specialformaterat PDF-dokument. Vid skrivande stund finns det inga säkerhetsuppdateringar tillgängliga. (SR07-002)

Sitic i veckan

Vi lägger sista handen vid lägesrapporten för andra halvåret 2006 om händelser och trender på IT-säkerhetsområdet. Honeypotprojektet fortsätter som en prioriterad aktivitet med utrullning av sensorer. Nästa vecka träffar vi de andra europeiska statliga CSIRT-organisationerna inom EGC. Vi kommer i februari att hålla ett seminarium om intrångsdetektering för organisationer inom offentlig förvaltning. Det börjar bli dags att dra upp planerna för Sitics vårseminarium, önskemål om ämnen och teman för seminariet tas gärna emot.

Trevlig Tjugondedag Knut!