Červ nadělil Microsoftu hektické Vánoce

Nechci vyvolavat flame na tema Windows x Linux. Ale par "drobnosti" bych zde opravdu rad uvedl.

-Skoro v kazdem baliku zaplat od MS jsou opravovany vysoce kriticke chyby, ohrozujici uzivatele se standardne nainstalovanym OS. Musim konstatovat, ze tolik kritickych chyb (zneuzitelnych vzdalene) za posledni cca 2 roky v zadne distribuci Linuxu nebylo - prosim, nepouzivejte demagogii poukazovanim na opravy chyb nekterych aplikaci, ktere byvaji pribaleny do distribuci - bezny uzivatel je vetsinou nikdy nepouzije (a ani nenainstaluje) a soucasti instalace Windows nic takoveho neni. Co se v posledni dobe v Linuxu objevovalo, byly vetsinou lokalne zneuzitelne chyby, ktere jsou pochopitelne daleko mene nebezpecne...
-Rychlost vydavani oprav Microsoftem je opravdu usmevna - uz ubehla rada dnu a oprava na tu aktualni stale nikde. Pry bude 10. ledna (tedy jeste >10 dnu ochrana hloupych uzivatelu pouze pomoci workaroundu ci nespolehlivych antiviru !!!) - to je opravdu pozoruhodna neschopnost, dana mimo jine samym principem uzavreneho proprietarniho softwaru.

At si kazdy udela zaver sam. At si kazdy zboznuje co chce, ale to co jsem uvedl vyse jsou skutecnosti. Rozumnejsi uzivatele Windows (tedy ti, kteri je nepouzivaji z lasky ke korporaci, ktera "to s nami vsemi mysli prece tak dobre", ale napr. proto, ze provozuji sw, ktery na jine platforme neni) by meli tento OS pouzivat opravdu velice opatrne a s rozvahou - je - li jim bezpecnost jejich dat mila.

Len ma tak napadlo....

... nie je nahodou aj " Windows Picture and Fax Viewer" tiez iba aplikaciou, ktora je pribalena k operacnemu systemu MS Windows

Jak udelat z komara velblouda. :) Vsechny takoveto slaboduche sracky co tu byly vypusteny z hub neotesanych junacku jsou dukazem lidske omezenosti a snaze necim vyniknout. A vsadim se ze se zde najdou i takovy, co tuto myslenku nepochopi a napisi, at si to jdu psat jinam.

Ale doprdele se na sebe podivejte!!! Decka v prvni tride maji vic rozumu a dustojnosti...

Widle i Linux jsou nahovno, kdyz to neumite pouzivat...

Myslim, ze ti unikla jedna vec, a sice ta, ze zde na Zive uz ponekud delsi cas prispivaji lide, kteri zjevne nemaji ani tu prvni tridu ...podle toho jak se zde mnozi prezentuji to tak bohuzel vypada ...muzeme je jedine litovat, co nadelas.

funguje ten exploit i když spustim wmf jako uživatel s omezenými právy???? Nějak podezřele se to vůbec nikde neřeší ani u Majkrosoftů :-o
děkuji za případné info.

Funguje. Akorát je jeho činnost omezena právy toho uživatele.

Pokud nekdo opravdu chcete vyzkouset, jestli jste proti teto chybe dobre chraneni, pridavam testovaci WFM soubor, ktery najdete na http://lenny.vserver.cz/exploit-code-at-own-risk/anything.wmf . Samozrejme pouziti je jak jinak nez na vlastni nebezpeci, payload po spusteni vykona prikaz "notepad C:\boot.ini". Zadne jine akce neprovadi.

Bohužel už je Error 404, tady je náhradní
http://doli.ic.cz/exploit.wmf

Přece nechceš, abych kvůli spuštění notepadu zastavoval antivir?

Tenhle nespouští notepad

To je pech, že ve Windows není "rm -rf /", hned bych to wmf upravil

Omlouvam se za neznalost, ale hrozi mi u tohoto problemu neco, kdyz se na internet chodim s pravy USERS ?

Právě že jo. Samozřejmě se nezmění systém, ale například se dá modifikovat HKEY_CURRENT_USER a zde položka Run, čili spyware by tam mohl celkem snadno.

Jinak, já zírám. Ráno to čtu a odpoledne jsem to už našel na svém oblíbeném pornosajtu Firefox po mě chtěl otevřít "556.wmf" Kruci, ti si pospíšili.

Nejlepší je používat 3.x Win, nebo 98SE,  ME...   a jste v pohodě, žádnej cedník XP...kolikrát se budou ještě muset lidi napálit a spálit svou nenažraností po kravském systému plným děr....  Cysta bude následovat

Sazmorejme, hracka, ktera nema poradne (resp. aspon nejak) izolovane uzivatele a procesy, je tou nejbezpecnejsi volbou.

On zrejme mysli tzv. Security from obscurity. Zde je ale vhodnejsi pouzivat nejaky system ktery je bezpecne navrzeny a zaroven vyuziva security from obscurity (OS X, Linux, BSD). Win 9x (jeste) nesplnuji ani to druhe pravidlo, to prvni uz nebudou splnovat nikdy.

Tak to je dobrej napad s tou 3.x
Kamos by mi prodal 286ku 3.1.x
Skoda akorat,ze to nema:
USB,BlueTooth,IR apod.
jenom procesor a par bajtu RAMky.
Kazdopadne bych si zase konecne zaparil MARIA,protoze MARIO je pomalu lepsi,nez GTA:SA!
az na tu grafiku.
 
Kdyby ste nekdo chtel maria,tak at zkusi:
http://mujweb.cz/www/iceboy/smb.exe
Je to sice jeden z prvnic,ale slape dokonce i na XP!!!
A TO SE VYPLATI

Mne furt tak nějak není vůbec jasné, JAK to vlastně funguje. Jak se může otevřením obrázku SPUSTIT nějaký (další/uvnitř) program. Chápu sice pojmy přetečení atp, ale nechápu, jak se dá toto využít/zneužít. Díky za info případně link.

www.google.com

opet vynikajici diskuze, pridam tedy i svuj slaboduchy nazor

unix sux
M$ rulez (teda kdyz zrovna funguje)

;)

ani jedna z tech adres mi nefunguje. achjo. bych jinak ten obrazek hodil sem do diskuze

Škoda.

Tak to by byla síla

JJ - miluju firefox

Pokud je typ WMF asociován třeba na Corel, je počítač chráněn nebo ne?

mne ho asociuje irfan, povdal by som, ze si chraneny. Pruser nastane, az obrazok zobrazis v IE alebo ako nahlad v pruzkumnikovi.

Já mám náhledy vypnuté. Cítím se v bezpečí. Snad to není iluze.

IrfanView nepomoze, tiez pri otvoreni cracknuteho wmf sa spusti kod.

Nesmysl, nove varianty uz vubec nepouzivaji priponu wmf, ale gif, jpg apod... - a IE je samozrejme stejne otevre

Pokud je tomu tak, mohou uživatelé Windows a IE čekat zhasnutí obrazovky každou chvíli ...

Tak jestli by nebyla nejlepsi varianta zakazat otevirat vsechny obrazky v IE i ostatnich programech?

přesně tak jak jsem napsal do předchozí diskuze. Server Secunia zveřejňuje tyto chyby Windows pro případné útočníky, aby věděli jak systém Windows napadnout. kdyby to nebylo zveřejněno, tak by to hned tak někdo nenašel. Takže aspoň víte jakým magorům můžete děkovat za případné poškození vašich Windows.

opak je pravdou, pripadna nalezena bezpecnostni chyba se v undergroudovych kruzich rozsiri, jako se tomu stalo snad milionkrat. Zverejnenim explotu si muzou systemovi administratori overit, zda jsou jimi spravovane stroje napadnutelne. Tutlani chyby je spatne, siroka verejnost se o riziku nezdozvi, vzdy existuje jistota, ze kdyz jste chybu objevili vy, tak kdokoli jiny na planete o ni muze vedet tez a zneuzivat ve svuj prospech. Zverejnena chyba tlaci na vyrobce, aby ji co nejrychleji opravil, protoze tutlana chyba ma velmi casto tendenci spadat do prihradek "serepes".

PS: "Takže aspoň víte jakým magorům můžete děkovat za případné poškození vašich Windows."
mas namysli Microsoft?

Pokud vím, tak politika zveřejňování popisu chyb i exploitů "široké veřejnosti" bývá takováto:
- Vím o chybě, o které nikdo (snad) neví -> řeknu o ní výrobci, počkám chvíli, aby měl čas na reakci a zveřejním ji...
- Vím o chybě, o které ví podzemí (crackeři & spol.) -> řeknu o ní výrobci a zároveň ji zveřejním, aby se o ní dozvědělo co nejvíc administrátorů, kteří mohou adekvátně zareagovat...

V tomto případě šlo s velkou pravděpodobností o druhý případ, tedy MS by měl nyní co nejrychleji zareagovat a vydat minimálně workaround (http://www.microsoft.com/technet/security/advisory/912840.mspx je dost chabé) nebo ještě lépe záplatu...

Tak především Secunia je přední společnost monitorující bezpečnost software. To, co publikuje, je plně v její kompetenci, protože je nezávislá. A navíc nebyla jediná (a možná ani první), která o této chybě informovala. To, že již existuje snadno zneužitelný exploit, který se masově šíří, jen dokládá nutnost co možná nejrychlejší reakce - drtivá většina uživatelů Windows totiž nesleduje anglické informační bulletiny Microsoftu, bezpečnostní stránky, technické magazíny apod., ale jediné účelné a efektivní řešení uživatelů Windows je používat aktuální antivirový software a nabídnout jim co nejdříve opravu v podobě (automatické) aktualizační služby Windows Update. Teprve poté lze skutečně na většinu uživatelů vztáhnout vyšší mírou nez/odpovědnosti za bezpečnost svého PC.

Ne, Secunia zveřejňuje chyby pouze v situaci, kdy
- jsou už veřejně známé, nebo
- existuje na ně již exploit, nebo
- autor/výrobce daného software již na ně vytvořil opravu a uplynula určitá ochranná lhůta.

Dobrý příkladem je například poslední chyba v pmailu, kdy autor přímo rozelal výzvu k update s tím, že chyba bude zveřejněna na Secunii až po určité době. A taky tomu tak bylo.

Jakmile na WMF chybu už existovaly exploity, převažovalo už jednoznačně hledisko informovat o exploitu odbornou veřejnost než utajit informaci před zlými hackery - ti už o ni věděli.

Velice me tesi, ze diskuze na zive svymi moudry obcas obohati myslitele typu Trashmana. Prosim te, kdyz na to nemas, tak nic nepis - chapu, ze sebekritika je tezka vec, ale ja taky nezpivam na verejnosti.

jezish majraa takovejch chyb, vcera sme to opravdu trosku pretahli

trashmane, trashmane to je tim ze nechapesh souvislosti, jiz ja a nekolik lidi jsme ti psali to si prispevatele o trochu vise, precti si to, kdyz to pochopish budesh se citit lepe

trashmane, trashmane to je tim ze nechapesh souvislosti, jiz ja a nekolik lidi jsme ti psali to si prispevatele o trochu vise, precti si to, kdyz to pochopish budesh se citit lepe

Celkom ma pobavila predposledná kapitola článku - "Jak se můžeme bránit".

V prvom momente mi prišlo vtipné, že aj keď "Na popisovanou chybu zatím neexistuje oficiální záplata.", tak neoficiálnu som inštaloval už dávnejšie, a nazýva sa Linux.

Druhé čo ma príjemne prekvapilo bol celostránkový návod ako si to "dobastliť" sám. Napríklad taká sekvencia "regsvr32 -u %windir%\system32\shimgvw.dll" sa naozaj dramaticky líši od toho, čo skalní priaznivci Windows nenávidia na Linuxe - a to je shell. Nuž zdá sa, že ani Wokná sa bez toho spravovať nedajú.

Ptal se tě někdo na Linux? Neptal, tak nám sem nemiš nesmysly a čti si poradnu o Linuxu dušení chudáčku !!!

ma svobodu slova jako kazdy jiny vteto diskuzi, ja taky nejsem zvedavy na tvoje vykriky. Mimojine, prechodem na jiny OS nez ten od M$ je resenim vetsiny bolistek zamlzenych okynek.

No nevim, zrovna pomerne velka zranitelnost se objeila v XPDF na linuxu pred mesicem tez..takze vykriky linuxaru o bezpecnem systemu at pominou.. diry jsou vsude..

A za jak dlouho na ni byla k dispozici oprava? Take system tyden sem, tyden tam, ... ???

co ja vim dodnes neni...

Ale je

Package: app-text/xpdf
Vulnerable: < 3.01-r2
Unaffected: >= 3.01-r2

a já mám app-text/xpdf-3.01-r4

Tak toho skutečně moc nevíte, hlavně že si jednoduše a lacině kopnete, že ano?

http://secunia.com/advisories/17897/

Jenže zmíněná chyba nedovoluje spustit libovolný kód, kdežto tohle jo. A taky to, že xpdf ani ta chyba nemají s Linuxem nic společného, takže autory Linuxu těžko z něčeho vinit.

Chyba, o které pojednává tento článek, je Secunií značena 5/5 (tedy jako extrémně kritická) a již na ní existuje masově šířený exploit a stále nebyla opravena.

Chyba, o které se zmiňujete, byla Secunií značena 3/5 (jako středně kritická), exploit na ní neexistoval a nešířil se a oprava na ní byla dostupná již během několika dní.
http://secunia.com/advisories/18009/

Takže to vaše srovnání a závěr je k ničemu, protože ty rozdíly v zabezepčení (a přístupu k němu) jsou očividné.

Poradňu si čítať nemusím - mne môj systém funguje ...

Toto nie je prvá chyba v obrázkovej knižnici Windows. Bohužiaľ, Microsoft po každej objavenej chybe akurát zbastlí opravu na tú jednu konkrétnu chybu, a tým to považuje za vybavené. Je jasné, že na prípadné útoky pri programovaní tej knižnice nikto nemyslel. Mali by ju celú skontrolovať od prvého po posledný riadok kódu. Im sa ale nechce, a kódy do rúk nikto iný nedostane. Takže diery žijú ďalej a čakajú na svoje objavenie záškodníkmi.
Narozdiel od Linuxu, kde je oprava záležitosťou niekoľkých hodín (obvykle). Plus po objavení chyby sa nájde niekto, kto prejde celý podozrivý kód, aby našiel aj ďalšie podobne zraniteľné miesta a odstránil ich.

To by me zajimalo, jestli jsi nekdy testoval jakykoliv software ...

Nejpodstatnejsi je to, ze by soft mel byt jasne rozdelen (i vnitrne) na samostatne moduly. Kazdy z nich ma delat jednu vec a nic vic (ani zadne "rezimy" a jina magie...). Tento kod se navrstvi do jednoho celku. Vyskytne-li se chyba, staci pak opravit ten jediny kus kodu bez rizika, ze to ovlivni neco dalsiho. Pak je testovani snadne a oprava taktez.
Bohuzel windows nejsou rozdeleny do jasne ohracicenych vrstev a tim padem je temer nemozne to bezpecne opravovat (toto neni z daleka jen problem widli, ale i fury dalsiho komercniho softu - u widli je ale problem to, ze je za system povazovan i balik doprovodneho softu a mnohdy je i tento zapraven do systemu a zminene hranice jsou az takto dalece ignorovany - je to tak totiz o mooc levnejsi vyroba). Pak je totiz nevyhnutelne nutne velmi dukladne testovat dopady jakekoliv opravy. Z toho duvodu je snadnejsi spachat udelatko, ktere obali vred a bud hlida provoz te komponenty, nebo po ni neustale "uklizi". Tim se na sebe vrstvi mnoho a mnoho dalsiho (vesmes jen) opravneho (a tedy zcela zbytecne zatezujiciho) kodu a cely kolotoc problemu pokracuje dal (nebot cim je celek slozitejsi, tim vic je nachylny k porucham) v dalsich (drive necekanych a tezko odhadnutelnych) variacich.
Pro MS je pohopitelne levnejsi ta druha varianta (v urcitem stadiu je o moc levnejsi vse zahodit a napsat to uplne znovu - to se deje az kdyz je to uplne preplacane - proto muze byt myslitelna nadeje, ze ve vista to snad uz konecne bude lepsi..? ale tezko rict...).
To je duvod, proc jsou jine systemy (nemluvim jen o linuxu - aby to nekoho neznepokojilo ) mene problemove. Samozrejme, ze v novem kodu se musi ladit chyby vzdy - neni to tedy proto, ze by vyvojari jinych systemu a jinych softu byli nejak obzvlaste peclivi oproti tem z majkrosoftu. Neni to tedy ani o rozsirenosti, protoze ty utoky samozrejme chodi z netu a nemajkrosoftich pocitacu trvale pripojenych k netu (resp. trvale ohrozovanych) je i v proc. vyjadreni mnoho.

ja si nemuzu pomoct ale obcas po precteni podobnych reakci mam pocit, ze Linux je neco nadprirozeneho... a vubec, vsichni lide, kolem nej jsou hodni a tak nejak spolecne pracuji na krasne budoucnosti.... jako treba formulace "vzdycky se najde nekdo" atd... proboha. je to jenom operacni system, stejne jako windows. ma jinou licencni politiku.... (m.j. podstatne slozitejsi nez Windows) ale vazne... jen system.

"ma jinou licencni politiku.... (m.j. podstatne slozitejsi nez Windows)"

Používat legálně zdarma či s minimálními náklady na jakémkoli množství PC; možnost prohlížet, měnit a upravovat zdrojový kód tak, abyste ho poskytl se stejnými právy s jakými jste ho dostal - to je skutečně "podstatně složitější licenční politika".

Vážený Odpadkovýmuži, jakou pozici u M$ zastáváte?

Ptal se tě někdo na Linux? Neptal, tak nám sem nepiš nesmysly a čti si poradnu o Linuxu dušvení chudáčku !!!

Ptal se tě někdo na Linux? Neptal, tak nám sem nepiš nesmysly a čti si poradnu o Linuxu duševní chudáčku !!!

1. Mozna by bylo dobre se nekoho optat, kde se v cestine pisi carky.
2. Opakovane nesmysly a vulgarity jsou videt spise z Vasich prispevku.
3. Proc to sem davate tolikrat? Snad ne z duvodu skveleho a neprekonatelneho weboveho systemu Zive.cz postaveneho na [opakovat predesle] technologii Microsoftu?

Muhehehehe, jemu se totiž teprve napotřetí podařilo napsat slovo "duševní"...

no aspoň že se mu to nakonec povedlo, jinak by tady s tím tapetoval dál

Jdi z Linuxem do prdele, ja ho mam taky a nikomu to nervu. Akorat delas Linuxove komunite vostudu.

stim shellem ma ale pravdu, ne?
ostudu delas spis ty, sam sobe, zpusobem jakym se vyjadrujes.

pravdu nema. shell je ale o dost rychlejsi (obcas jednoduchsi) nez vysvetlovat kliknite mysou na pruzkumnika, v zalozkach najdite moznosti priecinka, v nom zalozku typy suborov a zmente asociaciu wmf suboru k inemu (ziadnemu) programu. Skoda len, ze to malo kto vie.

sam shell vo win dost casto pouzivam, ale ta sracka na nic z *nixu nema.

Cygwin?

mam pocit ze jeden prikaz na command line se opravdu neda srovnat s mnohastrankovymi navody jak napr. do Linuxu nainstalovat ovladac k modemu.

Ovšem za předpokladu, že je k tomu důvod. Což být nemusí, mnoho modemů v linuxu funguje automaticky.

No nevim cece, moje obe dve WiFi karty si s Linuxem nerozumi.

Tak nepoužívejte win only softwarová udělátka "made in popelnice". Kdyby jste ty prachy místo za licenci Windows vydal na kvalitní hardware, učinil by jste lépe.

Tak to máš blbý. ndiswrapper?

Opravdu nechapu proc komentare k podobnym prispevkum vzdy svrhnou do nekonecne nudne tahanice "windows versus linux". Nikdo ani jednoho z vas nenuti si instalovat ani jeden z nich. Nelibi se ti Windows? Fajn, jdi k Linuxu. Nelibi se ti Linux, obstarej si Windows. Jednoduchy jak facka. Prispevky typu "ja uz mam Linux haha" jsou fakt trapny a podobnym zpusobem dokazi argumentovat i male deti.

to bude nejaky omyl
1. nerekl bych se priznivci windows nemaji radi shell, cimz vic se da OS skriptovat -> z automatizovat, tim lipe, vite jak se rika tem co nemaji radi shell -> 'uzivatele'
2. na "regsvr32 -u %windir%\system32\shimgvw.dll" shell nutne nepotrebujete

ty seš ale pako

to platilo pro Trashman

Vis proc nepouzivam Linux? ... neni to ani shell ani nic jineho (viry pro mne problem nejsou, protoze kdo nema v hlave nasrano tak nikdy nic nechyti) ... ja nepouzivam Linux kvuli takovym imbecilum jako jsi ty, kteri si za kazdou cenu musi rypnout v libovolne diskusi na tema Windows.

LOL. Tak co používáte? Určitě ne Windows, protože tam je přece imbecil Ballmer.
Pokud se budete řídit podle lidí a ne podle kvalit samotného systému, tak nevím co budete používat...

pouzivam takovy system, ktery vyhovuje mym pozadavkum ...narazel jsem pouze na to, ze kdykoliv se najde clanek, ktery rozebira bezpecnostni problemy nejakeho OS, tak se najde nejaky zamindrakovany pubertak, ktery zacne prohlasovat jak je Linux super, a ze vsichni kolem jsou tedy asi debilove, kdyz pouzivaji neco jineho. Kazdy OS ma sve kvality, kazdy je vhodny na neco jineho ...a ano, plati to i pro Linux (pro nektere zrejmne nestravitelna zalezitost) ...a vubec, co se namaham, normalni clovek si pomysli sve, lide jaci jsou takovi zustanou, jen jsem po pul roce zavital na Zive.cz, jestli se neco zmenilo, vidim ze ne ..

Mne dnes asi 20 krat v prehliadaci vyskocil dialog s otazkou, ci chcem otvorit link, na konci ktoreho bolo wmf. Nastastie to bolo v Konquerore v linuxe, ale je neuveritelne, ze Microsoft otravuje este aj uzivatelov linuxu.

ale je neuveritelne, ze Microsoft otravuje este aj uzivatelov linuxu. A čím? Ty stránky jste načetl v prohlížeči Vy. Nebo si myslíte, že v Redmondu si platí lidi na to, aby vytvářeli stránky, využívající WMF exploitu, které si pak otevřete?

nastesti ? tzn. kdybys mel Windowsy, tak na to kliknes a budes mit vira. Ale na linuxu muzes klikat jako magor na vsechno a zatim si nic nechytil ...

"S největší pravděpodobností bude oprava připravena v rámci dalších pravidelných záplat – tedy 10. ledna 2006."

Což je v přímém rozporu se sliby Microsoftu vydávat opravy na kritické (a tím spíše extrémně kritické) chyby okamžitě či velmi brzy, nikoliv až v rámci "pravidelné měsíční dodávky".

"Záleží však hodně na uživatelích a správcích systémů, jak rychle zareagují a nastaví takové restrikce, aby riziko útoku co nejvíce minimalizovali. Druhým neméně důležitým prvkem je selský rozum běžných uživatelů, který bohužel často schází."

Naprosto zásadním prvkem od něhož se celý tento případ (ale i další podobné) odvíjí, je bezpečnostní návrh operačního systému a schopnost výrobce včas reagovat. Svádění problému především na uživatele či správce je velmi jednoduché, ale to přece neřeší jeho příčinu.

Tomeši Tomeši, běž si onanovat nad svůj Firefox a neobtěžuj diskuze svými moudry....

dalsi zamindrakovany windowsak?

Baví vás zamořovat diskuse osobními útoky a hlubokou argumentační prázdnotou?

Kdyby někteří uživatelé win, kteří již ze svých PC udělali zombie přešli třeba na vaši modlu - Linux, myslím že by dopadl stejně, nebo hůře :)

Buďte rádi za svoje Widle zá zkoušel zabezpečit svůj počítač

[olda@olda ~]$ regsvr32 -u %windir%\system32\shimgvw.dll
bash: regsvr32: command not found
[olda@olda ~]$

a nejde to a nejde to.

Nejspis ten prikaz musis spustit jako spravce. Obycejny uzivatel patrne nemuze takhle zasahovat do systemu (ze to spoustis jako normalni neprivilegovany user soudim podle toho "$" na konci tveho promptu).

To jsou jen ničím nepodložené a nepodložitelné spekulace, stejně jako to lidi tvrdili v případě Firefoxu před několika lety a nyní se ukazuje, že prostě neměli pravdu.