Windowsille on oma örkkisivusto: mato78 ;)
http://mato78.com/uutiset/tietoturva/10476-windows-bugi-antaa-haittaohjelmille-kyvyn-ohittaa-kaeyttaejaetilien-valvonta
http://mato78.com/uutiset/tietoturva/10476-windows-bugi-antaa-haittaohjelmille-kyvyn-ohittaa-kaeyttaejaetilien-valvonta
Vastaukset 7
Vanhimmat
Tätä haavoittuvuutta pitää seurata, on tyypiltään privilege elevation mutta ei voi hyödyntää verkon välityksellä (onneksi).
Workaround on olemassa, mutta odotan kunnes tulee MS:n technettiin.
Lisää aiheesta ja workaround:
http://nakedsecurity.sophos.com/2010/11/25/new-windows-zero-day-flaw-bypasses-uac/
http://www.thinq.co.uk/2010/11/25/windows-flaw-allows-malware-bypass-uac/
Se on niin helppoa kun ei tarvise edes komentorivikehotetta!
1. As an Administrator open Regedit and browse to HKEY_USERS\[SID of each user account]\EUDC
2. Right-click EUDC and choose permissions
3. Choose the user whose account you are modifying and select Advanced
4. Select Add and then type in the user's name and click OK
5. Click the Deny checkbox for Delete and Create Subkey
6. Click all the OKs and Apply buttons to exit
Turha pelätä sitä että Administratorina saat helposti Regeditillä koneen siihen kuntoon että se ei enempi käynnisty. ;)
Ei tule verkon yli ja kyllä tuohon paikka tulee aikanaan. Seuraan kyllä tilannetta ja odotan jokatapauksessa MS:n kantaa asiaan. Näihin tulee nykyään usein fixit korjaus, joka tekee tarvittavan workaroundin käyttäjän puolesta = pieni ohjelma joka ajetaan ja joka tekee tarvittavat säädöt.
Kyllä nuo workaroundit kuitenkin ovat purukumipaikkoja ja sopii toivoa että ne korjaavat tilannetta eikä tee usia reikiä mikä on usein mahdollista.
Meidän mummo teki tuon rutiinilla. ;)
"workaroundit kuitenkin ovat purukumipaikkoja"
Tietenkin ovat, niitä käytetään vain jos:
- Haavoittuvuus on erityisen vaarallinen
- Haavoittuvuuteen hyökätään aktiivisesti
Workarondit puretaan kun oikea paikka on tehty.
Applella on aivan toisenlainen politiikka, mihinkään aukkoihin ei ikinä tarjota woraroundia eikä mistään auki olevasta aukosta edes kerrota applen sivuilla vaikka se olisi muuten yleisesti tiedossa ja varsinainen paikka tulee ehkä 3:n kuukauden päästä.
Laitoin tällaisen apua aloittelijoille palstalle. Tuli taas samalla muistutettua virustorjuntojen osuudesta tietoturvan kokonaisuudesta. On ihan ok että sellainen on taustalla, mutta kun on aivan liikaa käyttäjiä jotka luulevat että kun virustorjunta on asennettu, niin kone on täysin suojattu ja mistään muusta ei tarvitse enää välittää mitään.
---------------------------------------------------------------------------
Aukko on priviledge elevation tyyppinen ja se ei tartu pelkästään nettailemalla vaan netistä ladattu ohjelma pitää ajaa tai koneessa pitää olla asennettuna joku muu ohjelma jossa on aukko jonka kautta voi ujuttaa haittaohjelman joka taas sisältää koodin käyttäjätilien oikeuksien ohittamiseen.
Eli
Nyt kannattaa olla erityisen kriittinen sen suhteen mitä ohjelmia sallii netistä käsin ajettavaksi.
Virustorjunnoistakin on nyt jotain hyötyä kunhan kaikki örkintorjuntafirmat pääsevät ajantasalle.
Latasin POC:n (Proof Of Consept) netistä ja laitoin sen virustotaaliin ja tällä hetkellä tilanne on nyt tämä.
MSE
http://www.aijaa.com/v.php?i=7101250.jpg
Virustotal 1
http://www.aijaa.com/v.php?i=7101251.jpg
Virustotal 2
http://www.aijaa.com/v.php?i=7101259.jpg
Konetta pitää silti käyttää normaalikäyttäjän oikeuksin netissä, ei kaikki haittaohjelmat sisällä tätä metodia ja tähän tulee korjaus aikanaan ja olen varma että MS tekee tästä FixIt:in ennen sitä. Kun sellainen on tehty niin kirjoitan tänne. Epävirallinen fixit on jo olemassa.