Chyba ve Windows 2000 je vážnější, než se myslelo

Minulý týden byla zveřejněna oprava na chybu ve zpracování WebDAV na Windows 2000 Serveru s IIS. Nyní se ukazuje, že chyba není zdaleka omezena jen na kombinaci IIS a zapnutý WebDAV.
Podle analýzy (PDF) společnosti NGS Software, je uvedená chyba v IIS 5.0 u Windows 2000 většího rozsahu, než se původně uvádělo. Samotná chyba totiž neleží ve zpracovávání WebDAV požadavků (práce se soubory přes http protokol), ale hlouběji v systému. Použití vhodně formulovaného WebDAV požadavku na webovém serveru IIS je tak pouze jednou z metod zneužití chyby.

Problém leží ve funkci s názvem RtlDosPathNameToNtPathName_U, která používá pro délku řetězce unsigned short, tedy 16bitové číslo od 0 do 65535. Při délce nad 64 kB je tak délka špatně interpretována a dojde k přetečení zásobníku. NGS Software ve svém doporučení uvádí i seznam funkcí a DLL knihoven, které tuto funkci využívají a jsou tak potenciálně zneužitelné.

Protože chyba leží ve funkci uložené hlouběji v systému, je zneužitelná i jinými cestami. NGS Software uvádí například webové a FTP servery jiné než od Microsoftu, IMAP servery, antivirová řešení a další služby Windows. Znamená to tak, že případní útočníci nemusí spoléhat jen na jednu kombinaci a mohou volit pro ně nejvýhodnější cestu.

Zveřejněná záplata tuto chybu opravuje, i když má chyba větší rozsah, než uvádí Microsoft. Proto se doporučuje instalace této záplaty na úplně všechny Windows 2000 a to i v případě, kdy na nich neběží webový server IIS. Jeden prostě nikdy neví.

Diskuze (28) Další článek: Český Telecom se proti 23 miliónové pokutě za loňskou nabídku ADSL odvolal

Témata článku: Microsoft, Windows, Uvedená chyba, Chyba, Mysl, IMAP


Určitě si přečtěte

Užitečné funkce ve Windows 10, o kterých možná ani nevíte

Užitečné funkce ve Windows 10, o kterých možná ani nevíte

** Operační systém Windows 10 nabízí spoustu užitečných drobností ** O některých funkcích mnoho uživatelů není ** Ukážeme vám některé užitečné vychytávky

Vladislav Kluska | 86

Porno insider: Jak virtuální realita vstupuje do filmů pro dospělé

Porno insider: Jak virtuální realita vstupuje do filmů pro dospělé

** Pornografie údajně představuje třetinu internetové obsahu a je technologický tahounem ** Do erotického obsahu postupně zasahuje i virtuální realita ** Kromě vizuálního vjemu se pracuje také na virtuálním uspokojení toho hmatového

Jan Dudek | 32

Notebook do 10 000 korun: Co koupit a čemu se raději vyhnout

Notebook do 10 000 korun: Co koupit a čemu se raději vyhnout

** Do deseti tisíc korun lze dnes koupit slušné notebooky ** V nabídce ale převládají zastaralé a pomalé modely ** Poradíme, jak dobře vybrat i s omezeným rozpočtem

David Polesný | 75

Zapomeňte na kabely, vědci už mají prototyp 120kW bezdrátové nabíječky pro elektromobily

Zapomeňte na kabely, vědci už mají prototyp 120kW bezdrátové nabíječky pro elektromobily

** Vědci představili prototyp výkonné bezdrátové nabíječky pro elektromobily ** I přes vysoký výkon se pyšní vysokou efektivitou ** Bude budoucnost nabíjení elektromobilů bezdrátová?

Karel Javůrek | 56