RSS

Desbordamiento de búfer en SAP Crystal Reports

martes, 28 de diciembre de 2010

Se ha anunciado una vulnerabilidad en SAP Crystal Reports 2008 SP3 Fix
Pack v3.2 que podría permitir a un atacante remoto la ejecución de
código arbitrario en los sistemas afectados.

El problema reside en un desbordamiento de búfer en el control ActiveX
"CrystalReports12.CrystalPrintControl.1" (PrintControl.dll) al tratar
código HTML específicamente manipulado. Un atacante remoto podrá lograr
ejecutar código arbitrario si el usuario afectado visita una página web
maliciosa (el código se ejecutará con los privilegios del usuario
afectado).

Se recomienda aplicar la recomendación de la nota de seguridad 1539269
de SAP:
https://websmp130.sap-ag.de/sap/support/notes/1539269

https://service.sap.com/sap/support/notes/1539269


Dejo Exploit PoC:

Subiendo la temperatura en el datacenter "Prate 1"

Para navidad leía un artículo creado por los amigos de http://www.securityartwork.es, que vale la pena analizar, y sobre todo ganarse unos cuantos punto$$$ disminuyendo el consumo del data center o aumentando su capacidad… espero que les sea de utilidad y vale la pena realizar el estudio, todos sabemos que Febrero es leeeeento.

Recientemente, trabajando en una ampliación bastante importante de nuestro centro de datos he podido constatar ya de forma generalizada que el mercado propone parámetros de diseño de salas técnicas con temperatura ambiente de 25º C y control de humedad de humedad relativa al 80%. Este post va de porqué, cómo y hasta dónde pueden realizarse estos cambios en una sala técnica existente —en este caso una de un centro de datos real— ya que con estos nuevos parámetros de diseño los centros de datos han dejado de ser como los conocíamos hasta la fecha.

El aumento de la temperatura de la entrada en aire a los servidores de 21º hasta 25º es un cambio que está operativo desde hace aproximadamente 1 año en una de las salas de nuestro centro de datos, que alberga aproximadamente 130 kW de sistemas. ¿Por qué este aumento? Para ahorrar energía, claro. ¿Y no causa problemas en los sistemas? No. Los equipos actuales soportan temperaturas operativas de hasta 35º garantizadas por el fabricante. Como muestra los parámetros operativos del equipo DELL Poweredge R210, uno de los más baratos (369 €) y populares servidores:

Temperature: Operating: 10° to 35°C with a maximum temperature gradation of 10°C per hour. Relative Humidity: Operating: 20% to 80% (non-condensing) with a maximum humidity gradation of 10% per hour

Debido a estas mayores prestaciones de los equipos y a los innovadores diseños de los nuevos centros de datos, ASHRAE, la asociación norteamericana de climatización —que son los que mandan— publicó un cambio del alcance de sus recomendaciones medioambientales, incrementándolas hasta 27º y 65% de humedad relativa. La zona azul en la carta psicrométrica es la autorizada por normativa y la amarilla la soportada por los equipos.


¿Y por qué 25º y no 35º directamente? Todos sabemos que los servidores aceleran como fórmulas 1 en cuanto la temperatura supera un cierto umbral. Los ventiladores se disparan y el consumo energético de los ventiladores aumenta de forma exponencial, pero ¿cuánto en relación al ahorro obtenido por el aumento de temperatura de la instalación? Los pocos estudios existentes al respecto (éste es de DELL y APC) recomiendan que la temperatura de entrada esté alrededor de los 25ºC, aunque este parámetro depende evidentemente de cada instalación. Nuestra decisión ha sido mantener estos 24º/25º, fundamentalmente por esa sensación de que no puede estar pasando nada bueno si en el CPD queman todos los servidores a la vez.

Con el aumento de la temperatura, el ahorro energético en la climatización en una sala diáfana con instalación de expansión directa es significativo en la teoría, pero presenta problemas operativos adicionales como las variaciones no homogéneas de la temperatura a lo largo de las filas de racks. La solución por la que hemos optado ha consistido en separar completamente el aire frío del caliente y contener los volúmenes a climatizar con contenedores de aluminio y policarbonato, tanto en los pasillos fríos como en las áreas de colocation dedicadas a clientes. El resultado: el control exacto de la temperatura y la humedad relativa en los pasillos fríos y una mejora muy significativa en el rendimiento del sistema de climatización: el consumo del sistema de clima ha bajado un 32% en los meses de invierno.

Uno de los efectos más curiosos que pudimos observar inmediatamente tras la instalación de los contenedores y antes de aumentar la temperatura de la sala, fue que ante nuestra sorpresa, la temperatura de retorno del aire de la sala bajó 1,5ºC. ¿Bajó? ¡Si acabábamos de cerrar completamente las áreas del centro de datos en las que se introducía frío en el CPD! Pues sí, la temperatura bajó al utilizar los sistemas exclusivamente aire del contenedor, a una temperatura mucho más baja que el aire recalentado de la sala.


Con todo este trabajo hemos reducido costes e incrementado la capacidad: con la misma instalación somos capaces de soportar una carga IT mayor manteniendo la redundancia N+1. Pero el proceso no está exento de inconvenientes. El sistema de extinción de incendios ha tenido que adaptarse a las nuevas volumetrías compensando desde el suelo técnico las capacidades de inundación “perdidas” por los rociadores del techo y, por supuesto, el sistema de climatización ha tenido que recalibrarse para adaptarse al nuevo entorno.

Por otra parte, el aumento de la temperatura en el pasillo frío sí ha tenido como consecuencia un aumento significativo de temperatura en los pasillos calientes y en el interior de los racks hasta 38º – 45º (dependiendo de cada rack). Esto ha afectado a instalaciones realizadas por clientes en la parte posterior de los bastidores —fundamentalmente de electrónica de red— que han tenido que ser reubicadas, y sobre todo a los equipos de red cuya entrada de aire es lateral y no frontal. Ojo, que los routers se paran si la temperatura de la CPU sube en exceso. Para ello ha sido necesario instalar dispositivos pasivos de recirculación lateral del aire como el de la figura que es del fabricante APC.

¿Y qué ha pasado con la humedad?… Les cuento en el próximo capítulo.

;-)

0day Vulnerability in Internet Explorer Could Allow Remote Code III

lunes, 27 de diciembre de 2010

Hasta el momento no he tenido noticias sobre la explotación masiva de esta vulnerabilidad, pero siempre es bueno tomar las medidas del caso frente a un brote de spam que aproveche el 0day.

Como ya les comenté Metasploit ha creado y hecho público un exploit que permite aprovechar una de las vulnerabilidades que Internet Explorer sufre en estos días y no ha corregido aún. En realidad ya existía un exploit público para este fallo, que también se los envié, solo que ahora Microsoft lo ha reconocido. Ofrecemos algunas recomendaciones para mitigar el problema hasta que exista parche.

El día 8 de diciembre se hacía público un fallo en el procesamiento de Cascading Style Sheets (CSS) que permitía provocar una denegación de servicio (que Internet Explorer dejase de responder) de forma sencilla con sólo visitar una web. En principio, las denegaciones de servicio en navegadores no son del todo graves, sino más bien una incomodidad para el usuario. Además, son fáciles de provocar con JavaScript.

El problema con ciertas denegaciones de servicio es que a veces pueden ir más allá, y acabar en ejecución de código (no es la primera vez que ocurre). El hecho de que una aplicación deje de responder puede ser el indicio de que existe alguna forma de controlar el flujo de instrucciones. Si es así, el problema es muy grave. Y esto precisamente es lo que ocurrió el día 14. Algunos investigadores descubrieron cómo ir más allá y ejecutar código arbitrario en lo que parecía una simple denegación de servicio. Afectaba a Internet Explorer 6, 7 y 8.

Muy poco después, Nephi Johnson de breakingpointsystems.com, publicaba el código necesario para aprovechar la vulnerabilidad. El día 23 de diciembre el fallo se añade al popular Metasploit. La diferencia con respecto al anterior, es que ahora el exploit podía eludir DEP y ASLR en Vista y 7. Esto es relativamente sencillo últimamente, debido a la carga dinámica en Internet Explorer de librerías que no están marcadas para utilizar ASLR (en este caso mscorie.dll) y el uso de RoP (return oriented programming).

Ese mismo día Microsoft reconoce el fallo y comienza a trabajar en él para solucionarlo. No se tiene constancia de que esté siendo aprovechado por atacantes aún para instalar malware (aunque sin duda es lo más probable).

Damos algunas sugerencias para mitigar el fallo. En realidad, los consejos son válidos para intentar mitigar cualquier vulnerabilidad:

* Utilizar las zonas de seguridad de Internet Explorer. Si se eleva a "alta" el nivel de seguridad de la zona de Internet del navegador, se evitarían muchísimos de los ataques actuales. Esta posibilidad está
disponible en las opciones del navegador. Si se tienen problemas para visualizar páginas legítimas, basta con añadirlas a la lista de confianza.

* Utilizar Enhanced Mitigation Experience Toolkit (EMET) de Microsoft. Esta herramienta permite que todas las DLL cargadas por un programa sean obligadas a usar ASLR. Esto quiere decir que serán colocadas en lugares aleatorios de la memoria y el exploit que intente apoyarse en ellas para funcionar, no lo hará.

* Ahora que están de moda las sandbox desde que Adobe la implementa en su lector, cabe recordar que existen programas que permiten "encapsular" en una sandbox otras aplicaciones. En concreto, por ejemplo sandboxie (gratuito) permite ejecutar el navegador dentro de un entorno virtual. Cualquier ataque no pasaría al entorno "real" del sistema.

* Existen aplicaciones como WehnTrus (HIPS gratuita) que permiten implementar ASLR en los sistemas operativos de Microsoft que no lo soportan, como Windows XP y 2003.
Espero que estos tips les sean de utilidad, y recuerden que pueden utilizar su GPO para controlar IE.

Para clientes con IPS HP TippingPoint, ya existen los filtros necesarios para detener el DoS, en la DV 3.2.0_8145 publicada el 2010-12-21 10:45:49.0

10739: HTTP: Internet Explorer CSS Import Remote Code Execution
Category: Vulnerabilities
Description:
This filter detects an attempt to exploit a denial of service
vulnerability in Microsoft Internet Explorer.
Use of RECOMMEND action as category setting will cause this filter to be:
Enabled with the "block+notify" action set.

10744: HTTP: Internet Explorer CSS Import Remote Code Execution
Category: Vulnerabilities
Description:
This filter detects an attempt to exploit a vulnerability in
Microsoft Internet Explorer.
Use of RECOMMEND action as category setting will cause this filter to be:
Enabled with the "block+notify" action set.

0day Vulnerability in Internet Explorer Could Allow Remote Code II

Después de analizar un poco la vulnerabilidad de Internet Explorer con CSS, decidí realizar el PoC con nuestro buen amigo Metasploit de Rapid7.
Abrimos una consola de Metasploit (win32)
Recuerden realizar el msfupdate para descargar ms11_xxx_ie_css_import



Seleccionamos el exploit

Una vez seleccionado, vemos las opciones básicas disponibles con show options


Seleccionamos una dirección ip de nuestra máquina para realizar el PoC


Setiamos nuestra dirección ip interna, en mi caso seleccioné la red inalámbrica, perteneciente a un segmento de mi red.


Luego visualizo con el comando nbtstat –a los puertos que tengo disponibles


Setiamos el puerto 80, que está disponible en nuestra máquina que realizará el PoC


Luego lanzamos el exploit con nuestras configuraciones


El PoC se realiza con la siguiente versión de IE y con Windows 7 Ultimate


Teniendo 2 antivirus en el equipo, solo Avast detecta la amenaza y la categoriza como se visualiza en la imagen. Prefiero no nombrar la otra casa de antivirus.


Una vez desactivado nuestro amigo avast, los resultados son los siguientes.


Pero que dice Microsoft update al respecto


Recuerden que pueden modificar los parámetros de payload en su exploit ;-)

0day Vulnerability in Internet Explorer Could Allow Remote Code I

Microsoft Security Advisory (2488013)
Vulnerability in Internet Explorer Could Allow Remote Code Execution

Exploit para PoC Disponibles:
Escrito en Ruby
Metasploit
Escrito en JS

Microsoft está investigando nuevos informes públicos de una vulnerabilidad en todas las versiones de Internet Explorer. El principal impacto de la vulnerabilidad es la ejecución remota de código. Este nuevo boletín de seguridad contiene soluciones y mitigación de este problema.

La vulnerabilidad existe debido a la creación de la memoria sin inicializar durante una función de CSS en Internet Explorer. Es posible bajo determinadas condiciones para la memoria resulten ser aprovechados por un atacante mediante una página web especialmente diseñada para obtener la ejecución remota de código.

Mitigación
Tener habilitado el modo de protección (Protected Mode) en Internet Explorer en Windows Vista y sistemas operativos Windows posteriores ayuda a limitar el impacto de los exploits conocidos actualmente. Un atacante que aprovechara esta vulnerabilidad podría tener derechos muy limitados en el sistema.

De forma predeterminada, Internet Explorer en Windows Server 2003 y Windows Server 2008 se ejecuta en un modo restringido conocido como Configuración de seguridad mejorada. Este modo establece el nivel de seguridad para la zona Internet en Alto. Este es un factor atenuante para sitios web que no se han sumado a la zona de Internet Explorer de sitios de confianza. Véase también Gestión mejorada de Internet Explorer Configuración de seguridad.

Para más información visitar

1) Boletín de Seguridad de Microsoft (2488013)
2) CVE 2010-3971

Sistemas Vulnerables:
Microsoft Internet Explorer 8
Microsoft Internet Explorer 7.0
+ 3DM Software Disk Management Software SP2
+ Microsoft Windows Server 2003 Itanium SP2
+ Microsoft Windows Server 2003 x64 SP2
+ Microsoft Windows Server 2008 for 32-bit Systems SP2
+ Microsoft Windows Server 2008 for 32-bit Systems 0
+ Microsoft Windows Server 2008 for Itanium-based Systems SP2
+ Microsoft Windows Server 2008 for Itanium-based Systems 0
+ Microsoft Windows Server 2008 for x64-based Systems SP2
+ Microsoft Windows Server 2008 for x64-based Systems 0
+ Microsoft Windows Vista Ultimate
+ Microsoft Windows Vista Ultimate
+ Microsoft Windows Vista Ultimate
+ Microsoft Windows Vista Ultimate
+ Microsoft Windows Vista SP2
+ Microsoft Windows Vista SP1
+ Microsoft Windows Vista Home Premium
+ Microsoft Windows Vista Home Premium
+ Microsoft Windows Vista Home Premium
+ Microsoft Windows Vista Home Premium
+ Microsoft Windows Vista Home Premium
+ Microsoft Windows Vista Home Premium
+ Microsoft Windows Vista Home Basic
+ Microsoft Windows Vista Home Basic
+ Microsoft Windows Vista Home Basic
+ Microsoft Windows Vista Home Basic
+ Microsoft Windows Vista Home Basic
+ Microsoft Windows Vista Home Basic
+ Microsoft Windows Vista Enterprise
+ Microsoft Windows Vista Enterprise
+ Microsoft Windows Vista Enterprise
+ Microsoft Windows Vista Enterprise
+ Microsoft Windows Vista Enterprise
+ Microsoft Windows Vista Enterprise
+ Microsoft Windows Vista Business
+ Microsoft Windows Vista Business
+ Microsoft Windows Vista Business
+ Microsoft Windows Vista Business
+ Microsoft Windows Vista Business
+ Microsoft Windows Vista Business
+ Microsoft Windows Vista 0
+ Microsoft Windows Vista 0
+ Microsoft Windows Vista 0
+ Microsoft Windows Vista 0
+ Microsoft Windows Vista 0
+ Microsoft Windows Vista 0
+ Microsoft Windows Vista x64 Edition SP2
+ Microsoft Windows Vista x64 Edition SP1
+ Microsoft Windows Vista x64 Edition 0
+ Microsoft Windows XP Embedded SP3
+ Microsoft Windows XP Home SP3
+ Microsoft Windows XP Media Center Edition SP3
+ Microsoft Windows XP Professional SP3
+ Microsoft Windows XP Professional x64 Edition SP2
+ Microsoft Windows XP Tablet PC Edition SP3
Microsoft Internet Explorer 6.0 SP2
Microsoft Internet Explorer 6.0 SP1
Microsoft Internet Explorer 6.0
- Microsoft Windows 2000 Advanced Server SP2
- Microsoft Windows 2000 Advanced Server SP2
- Microsoft Windows 2000 Advanced Server SP2
- Microsoft Windows 2000 Advanced Server SP1
- Microsoft Windows 2000 Advanced Server SP1
- Microsoft Windows 2000 Advanced Server SP1
- Microsoft Windows 2000 Advanced Server
- Microsoft Windows 2000 Advanced Server
- Microsoft Windows 2000 Advanced Server
- Microsoft Windows 2000 Datacenter Server SP2
- Microsoft Windows 2000 Datacenter Server SP2
- Microsoft Windows 2000 Datacenter Server SP2
- Microsoft Windows 2000 Datacenter Server SP1
- Microsoft Windows 2000 Datacenter Server SP1
- Microsoft Windows 2000 Datacenter Server SP1
- Microsoft Windows 2000 Datacenter Server
- Microsoft Windows 2000 Datacenter Server
- Microsoft Windows 2000 Datacenter Server
- Microsoft Windows 2000 Professional SP2
- Microsoft Windows 2000 Professional SP2
- Microsoft Windows 2000 Professional SP2
- Microsoft Windows 2000 Professional SP1
- Microsoft Windows 2000 Professional SP1
- Microsoft Windows 2000 Professional SP1
- Microsoft Windows 2000 Professional
- Microsoft Windows 2000 Professional
- Microsoft Windows 2000 Professional
- Microsoft Windows 2000 Server SP2
- Microsoft Windows 2000 Server SP2
- Microsoft Windows 2000 Server SP2
- Microsoft Windows 2000 Server SP1
- Microsoft Windows 2000 Server SP1
- Microsoft Windows 2000 Server SP1
- Microsoft Windows 2000 Server
- Microsoft Windows 2000 Server
- Microsoft Windows 2000 Server
- Microsoft Windows 2000 Terminal Services SP2
- Microsoft Windows 2000 Terminal Services SP2
- Microsoft Windows 2000 Terminal Services SP2
- Microsoft Windows 2000 Terminal Services SP1
- Microsoft Windows 2000 Terminal Services SP1
- Microsoft Windows 2000 Terminal Services SP1
- Microsoft Windows 2000 Terminal Services
- Microsoft Windows 2000 Terminal Services
- Microsoft Windows 2000 Terminal Services
- Microsoft Windows 98
- Microsoft Windows 98
- Microsoft Windows 98
- Microsoft Windows 98SE
- Microsoft Windows 98SE
- Microsoft Windows 98SE
- Microsoft Windows ME
- Microsoft Windows ME
- Microsoft Windows ME
- Microsoft Windows NT 4.0 SP6a
- Microsoft Windows NT 4.0 SP6a
- Microsoft Windows NT Enterprise Server 4.0 SP6a
- Microsoft Windows NT Enterprise Server 4.0 SP6a
- Microsoft Windows NT Enterprise Server 4.0 SP6a
- Microsoft Windows NT Server 4.0 SP6a
- Microsoft Windows NT Server 4.0 SP6a
- Microsoft Windows NT Server 4.0 SP6a
- Microsoft Windows NT Terminal Server 4.0 SP6a
- Microsoft Windows NT Terminal Server 4.0 SP6a
- Microsoft Windows NT Workstation 4.0 SP6a
- Microsoft Windows NT Workstation 4.0 SP6a
- Microsoft Windows NT Workstation 4.0 SP6a
+ Microsoft Windows Server 2003 Datacenter Edition
+ Microsoft Windows Server 2003 Datacenter Edition
+ Microsoft Windows Server 2003 Datacenter Edition
+ Microsoft Windows Server 2003 Datacenter Edition Itanium 0
+ Microsoft Windows Server 2003 Datacenter Edition Itanium 0
+ Microsoft Windows Server 2003 Enterprise Edition
+ Microsoft Windows Server 2003 Enterprise Edition
+ Microsoft Windows Server 2003 Enterprise Edition
+ Microsoft Windows Server 2003 Enterprise Edition Itanium 0
+ Microsoft Windows Server 2003 Enterprise Edition Itanium 0
+ Microsoft Windows Server 2003 Enterprise Edition Itanium 0
+ Microsoft Windows Server 2003 Standard Edition
+ Microsoft Windows Server 2003 Standard Edition
+ Microsoft Windows Server 2003 Standard Edition
+ Microsoft Windows Server 2003 Web Edition
+ Microsoft Windows Server 2003 Web Edition
+ Microsoft Windows Server 2003 Web Edition
+ Microsoft Windows XP Home
+ Microsoft Windows XP Home
+ Microsoft Windows XP Home
+ Microsoft Windows XP Professional
+ Microsoft Windows XP Professional
+ Microsoft Windows XP Professional

Welcome

Con la tecnología de Blogger.