2 ud af 3 sårbarheder bliver ikke patchet med Windows Update
Blandt de 50 mest udbredte programmer på den typiske Windows-pc står Microsoft for de 26, men de resterende 24 udgør et kraftigt stigende sikkerhedsproblem. Det konkluderer det danske sikkerhedsfirma Secunia i en ny rapport.
For selvom Microsoft står bag halvdelen af applikationerne, så var det i 2009 kun 35 procent af sårbarhederne, som fandtes i Microsofts software. De resterende 65 procent af sårbarhederne i de 50 mest udbredte applikationer lå i tredjepartsprogrammer.
Det vil sige software som Adobe Reader, Adobe Flash Player, Mozilla Firefox, Java og Quicktime, men også software fra Cisco, Oracle, Hewlett-Packard og IBM til firma-pc'er.
»De sårbarheder er nøjagtigt lige så alvorlige eller mere. Konsekvenserne af at udnytte dem er de samme. Det er systemadgang eller kørsel af vilkårlig kode,« siger teknisk chef Thomas Kristensen fra Secunia.
I mange tilfælde kan det desuden være lettere for de kriminelle at udnytte sårbarhederne i tredjepartsprogrammer, fordi de ofte ikke benytter sig af de mekanismer i Windows, som kan give en hvis beskyttelse.
Secunia har tidligere analyseret tredjepartsprogrammerne og fundet, at det kun er meget få, som benytter sig af Data Execution Prevention (DEP) eller Address Space Layout Randomization (ASLR).
»Det er nok fordi, der ikke er nok opmærksomhed omkring det blandt udviklere. Der mangler nok også forståelse for, hvor meget det kan hjælpe. Og så er man måske bekymrede for kompatibilitetsproblemer. Men det er noget, man bør implementere hurtigst muligt,« siger Thomas Kristensen.
Både DEP og ASLR gør det sværere at udnytte mange af de mest almindelige sårbarheder som eksempelvis bufferoverløb. Eksempelvis gør ASLR det vanskeligere at forudsige, hvor i hukommelsen den ondsindede kode havner, og det gør det svært at få den til at køre.
For slutbrugeren betyder de mange sårbarheder i tredjepartsprogrammer, at der er mange applikationer, som skal holdes opdateret. Microsoft opdaterer alle selskabets applikationer gennem Windows Update, men det er kun en håndfuld af de øvrige leverandører, som har tilsvarende opdateringsfunktioner.
»Slutbrugeren får et virvar af dialogbokse og beskeder fra Java, Firefox eller Adobe. Det er noget, som påvirker brugerens arbejde, fordi nogle beder om at lukke programmet eller genstarte pc'en. Det er noget rod, og det giver måske en falsk tryghed, fordi brugerne ikke ved, at de stadig har en tredjedel af deres applikationer, som ikke bliver opdateret,« siger Thomas Kristensen.
I 2009 overtog tredjepartsprogrammer som Adobe Reader pladsen som de it-kriminelles foretrukne angrebsvej. Derfor har Adobe for nylig implementeret en ny opdateringsfunktion, som skal forsøge at få flere brugere til at holde softwaren opdateret.
Men tredjepartsprogrammerne er attraktive for de kriminelle, for det er i dag de færreste brugere, som ikke opdaterer deres Microsoft-software i løbet af den første uge, efter Microsoft har udsendt dets opdateringer. Derimod kan der ofte gå flere måneder, før brugerne får opdateret visse af de tredjepartsprogrammer, som er udbredt til et meget stort antal pc'er.
Kommentarer (5)
Både DEP og ASLR gør det sværere at udnytte mange af de mest almindelige sårbarheder som eksempelvis bufferoverløb. Eksempelvis gør ASLR det vanskeligere at forudsige, hvor i hukommelsen den ondsindede kode havner, og det gør det svært at få den til at køre.
Hvis man "crasher" det samme sted i hukommelsen hver gang et (stack) buffer overflow sker, kan man normalt lave en delvis overskrivelse (overwrite) af EIP (Instruction Pointer) og derved få kontrol over ekserkverings flowet (execution flow).
Ved at bruge nogle få simple Assembly instruktioner (opkoder) kan man også regne ud hvor man befinder sig i hukommelsen, hvilket jeg ikke vil komme nærmere ind på nu. (Der er dog kode eksempler i PHRACK magazinet.)
Det er heller ikke umuligt at omgå DEP / NX:
http://www.uninformed.org/?v=2&a=4&t=txt
Jeg mener at Offensive Security eller Remote Exploit har et par videoer på Internettet med eksempler på hvordan dette fungerer i tilfælde af nogen skulle være interesserede i at vide mere om dette til etisk brug.
-
0 -
0
Jeg synes at have set at programmer fra samme leverandør kører hver deres program når Windows XP startes, der tjekker om der er kommet nye opdateringer ... (Adobe Reader og Flash?)
Det er vel ikke nyt, udover at der stadig ikke er taget en god løsning i brug. Og at det er upraktisk og uforståeligt for de fleste private Windows-brugere.
Til Linux-systemer klarer software-distributøren det med opdateringer, fordi de kan distribuere stort set alt det software en alm. bruger behøver (undtagen købe-spil mm. samt visse lukkede drivere).
Det må også kunne lade sig gøre med closed source SW, at hente opdateringer til installerede programmer, og giver brugeren besked om hvad der sker, eller spørge hvorvidt en opdaterings skal installeres (hvis en bruger ikke ønsker det sker automatisk). Altså sådan at alt det brugerflade som brugeren møder, bliver så ensartet at det ikke forvirrer, samt at der ikke startes et væld af hjælpeprogrammer under Windows-opstart.
-
0
-
0
Det må også kunne lade sig gøre med closed source SW, at hente opdateringer til installerede programmer, og giver brugeren besked om hvad der sker, eller spørge hvorvidt en opdaterings skal installeres (hvis en bruger ikke ønsker det sker automatisk).
Der findes Secunia PSI (freeware) som holder styr på uddaterede og usikre programmer:
http://secunia.com/vulnerability_scanning/personal/
Jeg kan dog ikke garantere at det kan holde styr på alle programmer der findes i hele verdenen, da nogle programmer ikke har mulighed for at opdatere dem selv ej heller automatisk.
Men programmer / tilføjelser såsom flash burde PSI ikke have noget problem med at notificere brugen om skal opdateres osv.
-
0
-
0
Søg google efter "ASLR smack and laugh reference" for ca. 1000 måder at omgå ASLR. Der er et ton af muligheder, særligt fordi ikke alle dele af programmet bliver lagt tilfældige steder.
Stack canaries gør det temmelig svært at udnytte stack baserede overflows, men så er der overflows så mange andre steder...bss segmentet f.eks. eller funktions pointere som ligger foran kanariefuglen, eller udnyttelse af structured exception handlere (SEH).
Der vil nok altid være masser af muligheder. Den RIGTIGE løsning vil så være, at udviklerne selv skriver koden korrekt...og bruger tredjeparts libraries som også skrives korrekt...på et operativsystem som er skrevet korrekt. Med andre ord "Det sker nok aldrig".
-
0
-
0
Tilføj kommentar
