Vulnerabilidade em componente Windows, permite execução remota de código.
28.10.2008

Vulnerabilidade em um componente do serviço "Server" do Windows, permite execução remota de código. Com isso, é possível que um atacante na rede local obtenha o controle total do computador.



PLATAFORMAS AFETADAS --------------------- Windows 2000 Windows XP Windows Vista Windows 2003 Windows 2008



RISCOS PARA O NEGÓCIO ---------------------- Em servidores críticos, é possível que pessoas mal intencionadas utilizem essa vulnerabilidade para obter acesso não autorizado a informações importantes de negócio.

Para evitar esse risco é necessário atualizar os servidores que contém informações críticas de negócios: senhas, ERP, CRM, informações financeiras, contábeis, entre outras informações importantes de negócio.

É importante atualizar principalmente os controladores de domínio AD, servidores MSSQL, Sharepoint, etc.

Além disso, essa vulnerabilidade permitiria infecção em massa dos desktops Windows.



CENÁRIO POSSÍVEL de INFECÇÃO EM MASSA -------------------------------------- O principal risco são os notebooks que entram na rede da empresa e tenham acesso irrestrito a rede interna.

É recomendado filtrar o tráfego de acesso das redes móveis à rede interna nas portas 139/tcp e 445/tcp.

As empresas que possuem gerenciamento centralizado de antivirus e firewall podem criar políticas para proteger as redes internas filtrando, na console de gerenciamento, o acesso às portas 139/tcp e 445/tcp das estações e servidores.



PLATAFORMAS AFETADAS --------------------- Windows 2000 Windows XP Windows Vista Windows 2003 Windows 2008

Ver a lista completa no anúncio oficial da Microsoft http://www.microsoft.com/technet/security/Bulletin/MS08-067.mspx



SOLUÇÃO --------- Aplicar o patch disponível no anúncio oficial da Microsoft http://www.microsoft.com/technet/security/Bulletin/MS08-067.mspx



WORKAROUND ----------- - Habilitar o firewall do Windows para bloquear localmente as portas 139/tcp e 445/tcp.

ou

- Desabilitar o "Compartilhamento de Arquivos e Impressoras"

Qualquer das ações acima é uma solução temporária válida. Lembrando, que ela não pode ser feita em servidores de autenticação e de arquivos.



PROBLEMAS CONHECIDOS DO PATCH ----------------------------- Existem alguns casos conhecidos de lentidão em drivers wireless após a aplicação do patch.





AMEAÇAS CONHECIDAS ------------------ Já existe uma ameaça conhecida explorando ativamente essa vulnerabilidade. O nome da ameaça é GIMMIV, e já é detectada pelas maiores empresas de antivirus.

A descrição da ameaça é disponibilizada pela Trendmicro no endereço http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_GIMMIV .A

Além disso, existem vários exploits PoC (prova de conceito) disponíveis.



HISTÓRICO --------- Nos anos de 2003 e 2004, vulnerabilidades similares a essa causaram sérios problemas em todo o mundo. A infecção em massa de computadores derrubou redes e parou o trabalho de muitas empresas.

Hoje o cenário não é tão preocupante porque muitas empresas utilizam firewall pessoal nas estações, o que diminui a possibilidade de infecção em massa.





REFERÊNCIAS ------------ Anúncio oficial da Microsoft: http://www.microsoft.com/technet/security/Bulletin/MS08-067.mspx

Mais detalhes no blog da Microsoft: http://blogs.technet.com/swi/archive/2008/10/23/More-detail-about-MS08-067. aspx

Fonte: Microsoft