Sitics veckobrev v. 02

God fortsättning!

Nya artiklar

Botnätet storm används i nätfiskeattacker mot engelska banker?
http://www.darkreading.com/document.asp?doc_id=142828&WT.svl=news1_2

Skräppost kan skrivas ut direkt på oskyddade nätverksskrivare
http://www.informationweek.com/security/showArticle.jhtml?articleID=205602345

Boeing tar inflight-entertainment till en ny nivå med Dreamliner
http://www.wired.com/politics/security/news/2008/01/dreamliner_security

Storm önskar ett gott nytt år
http://www.scmagazine.com/uk/news/article/774951/storm-worm-new-years-greetings-proliferating/

Plantering av logisk bomb gav sysadmin 30 dagar bakom galler
http://www.computerworld.com/action/article.do?command=viewArticleBasic&articleId=9056284&intsrc=news_ts_head

...eller?
http://feeds.computerworld.com/\~r/Computerworld/Blogs-Security/\~3/214126743/new_jersey_logic_bomb_case

Skadlig kod i MBR - 1980 ringde och vill ha sin kod tillbaka
http://isc.sans.org/diary.html?storyid=3820

Dam Kaminsky talar om DNS Rebinding på 24C3
http://events.ccc.de/congress/2007/Fahrplan/events/2393.en.html

Amerikanska ISP redo att filtrera
http://bits.blogs.nytimes.com/2008/01/08/att-and-other-isps-may-be-getting-ready-to-filter/index.html

Attack mot smarta bankkort
http://www.zdnet.com.au/news/security/soa/Bank-card-attack-Only-Martians-are-safe/0,130061744,339285073,00.htm

Amerikanska luftförsvaret tar sig an Cyber warfare
http://www.vnunet.com/computing/news/2206849/looks-military-cyber-threats-3733943

Microsoft skickar uppdatering till fel användare
http://www.techworld.com/security/news/index.cfm?RSS&NewsID=11102

Open source-programvara hårdtestas av DHS (Department of Homeland Security)
http://www.gcn.com/online/vol1_no1/45652-1.html

Gamla patchade hål utnyttjas fortfarande
http://www.news.com/8301-10789_3-9848225-57.html?tag=cd.blog

Övrigt i veckan

CERT/CC släpper Insider Threat Study: Illicit Cyber Activity in the Information Technology and Telecommunications Sector
http://www.cert.org/archive/pdf/insiderthreat_it2008.pdf

...samt Insider Threat Study: Illicit Cyber Activity in the Government Sector
http://www.cert.org/archive/pdf/insiderthreat_gov2008.pdf

Nya Särskilda råd från Sitic

IBM - Sårbarhet i Tivoli Storage Manager (TSM)
TippingPoint Security Research Team har identifierat en säkerhetsbrist i Tivoli Storage Manager Express från IBM. Sårbarheten går att utnyttja genom att sända specialskrivna TCP-paket till den sårbara tjänsten. Dessa paket kan användas för att skriva över intenminne och få kod att exekvera med SYSTEM-rättigheter.
(SR08-010)

Apple - Sårbarhet i Apple Quicktime Player
Luigi Auriemma upptäckte sårbarheten som genom ett korrekt utnyttjande kan leda till att godtycklig kod exekveras. Sårbarheten kan utnyttjas externt men kräver att användaren besöker en rtsp-länk (Real Time Streaming Protocol) som leder till en server med specialskriven kod.

Vid skrivande stund finns ingen säkerhetsuppdatering tillgänglig.
(SR08-009)

Novell - Sårbarhet i Novell Client for Windows 'nicm.sys'
Stephen Fewer of Harmony Security har identifierat en sårbarhet i Novells klientprogramvara för Windows. Sårbarheten beror på att drivrutinen 'nicm.sys' tillåter kod från "user mode" att exekvera i "kernel mode". Användare på det sårbara systemet kan således hörhöja sina rättigheter till SYSTEM.
(SR08-008)

McAfee - Sårbarhet i McAfee E-Business Server
Leon Juranic från Infigo Information Security Research har upptäckt en sårbarhet i E-Business Server från Mcafee. Sårbarheten går att utnyttja genom att skicka in specialkonstruerade datapaket till administrationsgränssnittet som normalt lyssnar på TCP-port 1718. Om en angripare lyckats med att utnyttja sårbarheten, kan kod exekveras med SYSTEM-rättigheter och det sårbara systemet fullständigt tas över.
(SR08-007)

SAP MaxDB - sårbarhet i 'cons.exe'
Luigi Auriemma har identifierat en säkerhetsbrist i databasen MaxDB från SAP. Bristen går att utnyttja för att exekvera kommandon på det sårbara systemet.

Det finns för närvarande ingen säkerhetsuppdatering tillgänglig.
(SR08-006)

MS08-001 - Sårbarheter i Windows TCP/IP
Två sårbarheter har upptäckts. Den första, CVE-2007-0069, kan leda till att godtycklig kod körs på grund av felaktig hantering av IGMPv3- och MLDv2-frågor. Endast Windows Vista stöder MDLv2. Genom att skicka riggade IGMPv3- och MLDv2-paket kan en dator attackeras.

Den andra sårbarheten, CVE-2007-0066, är mindre allvarlig men kan användas i en överbelastningsattack. ICMP Router Discovery Protocol (RDP) hanterar inte en viss typ av fragmenterade förfrågningar korrekt. Detta protokoll är inte påslaget som standard, och sårbarheten finns inte i Windows Vista.

Följande kan göras för att skydda sig:

o Installera uppdateringen som är tillgänglig via Windows Update.
o Filtrera bort de sårbara protokollen i brandväggen.
o Slå av RDP genom en "registry"-ändringen.

Sårbarheterna slår olika hårt beroende på Windows-version. Vista samt XP drabbas hårdast, därefter Windows Server 2003, och lindrigast klarar sig Windows 2000. Alla versioner bör dock installera uppdateringen.

Alex Wheeler och Ryan Smith på ISS (IBM Internet Security Systems X-Force) upptäckte de båda sårbarheterna.
(SR08-005)

MS08-002 - Windows LSASS sårbart
Sårbarheten gör det möjligt att exekvera godtycklig kod med SYSTEM-privilegier genom ett specialkonstruerat LPC-anrop (Local Procedure Call). Windows Vista är inte sårbart.

Thomas Garnier på SkyRecon upptäckte sårbarheten.

En rättning finns att tillgå via Windows Update.
(SR08-004)

Novell - ZENworks Säkerhetsuppdatering
Stephen Fewer, Harmony Security, har identifierat en sårbarhet i Novell ZENworks Endpoint Security Management (ESM) Security Client. Genom att utnyttja denna såbarhet kan godtycklig kod med SYSTEM-rättigheter exekveras på det sårbara systemet. En uppdatering finns att tillgå hos Novell.
(SR08-003)

yaSSL (MySQL) - Ett flertal sårbarheter
Luigi Auriemma har hittat ett flertal sårbarheter i yaSSL, ett Open Source SSL bibliotek som vanligtvis används i MySQL. Sårbarheterna i yaSSL kan genom korrekt utnyttjande en orsaka tillgänglighetsattack eller ökade rättigheter på det sårbara systemet. För att utnyttja sårbarheterna i MySQL krävs att SSL-stöd är påslaget och att MySQL är länkat mot yaSSL.
(SR08-002)

ClamAV - Ett flertal sårbarheter upptäckta
Ett flertal sårbarheter har upptäcks i antivirusprogramvaran ClamAV. Sårbarheterna beror bland annat på otillräcklig kontroll av filer som har krypterats med Base64, samt osäker hantering av temporära filer. Effektivt utnyttjande kan leda till att godtycklig kod kan köras på det sårbara systemet.
(SR08-001)

Sitic i veckan

Inget att rapportera.