Pantallazo azul (BSOD) en Windows Vista y 7 a través de unidades compartidas


Laurent Gaffié ha detectado un fallo de seguridad en Windows Vista que podría permitir a un atacante provocar un BSOD (pantallazo azul, una denegación de servicio) con solo enviar algunos paquetes de red manipulados a una máquina que tenga activos los servicios de compartición de archivos (protocolo SMB).





El fallo (incomprensiblemente simple) está en el intérprete de las cabeceras SMB, concretamente en el driver srv2.sys. Como los controladores operan en el "ring0", la capa de abstracción del sistema operativo más cercana al hardware (en contraste con el "ring3", la capa de usuario que no interactúa directamente con él) un fallo en cualquier driver provoca que el sistema se bloquee por completo, al no poder manejar la excepción correctamente. Se trata del temido pantallazo azul, o BSOD. Los Windows anteriores a Windows 2000 no realizaban esta separación de seguridad entre capas, por lo que todo operaba en el mismo espacio de memoria y los fallos en el espacio de usuario podían causar un bloqueo total del sistema. De ahí que los pantallazos azules fuesen mucho más comunes en Windows 9x y Me.

El ataque es tan sencillo que recuerda a los "pings de la muerte" que hicieron estragos a finales de los 90 en los sistemas Windows. Contenían un fallo en la pila TCP que hacía que, si se enviaba un ping al sistema especialmente manipulado (simplemente especificando con un parámetro, por ejemplo, un tamaño mayor del paquete) se podía hacer que el sistema dejara de responder. Esto, unido a la carencia de cortafuegos del sistema, a que en aquellos momentos las conexiones se realizaban a través de módem (que carecía de protección por cortafuegos o NAT) y el hecho de no existir servicio de actualización automático del sistema, hicieron muy popular el ataque.

Este fallo en el protocolo SMBv2 de compartición de archivos requiere igualmente del envío de una sencilla secuencia de paquetes SMB (al puerto 445) al sistema víctima con las cabeceras manipuladas. El truco está en enviar un carácter "&" en el campo "Process Id High" de las cabeceras SMBv2. Esto provoca una excepción en srv2.sys que provoca el pantallazo azul. El exploit es público y realmente sencillo.

Vista mantiene el cortafuegos activo por defecto para su perfil "público", y esto mitiga el problema. Pero todo depende del perfil. Si el usuario usa un perfil de cortafuegos (ya sea de dominio, o el perfil privado) en el que permite las conexiones a sus unidades compartidas (puerto 445, normalmente abierto en las redes locales) será vulnerable. No es necesario que comparta realmente una unidad, solo que el protocolo SMB esté activo y preparado para compartir en su sistema. Esto puede resultar especialmente grave en redes internas.

No existe parche oficial disponible. Se recomienda filtrar el puerto 445 (y los implicados también en la compartición de ficheros 137-139) a través de cortafuegos. También es posible detener el servicio "Servidor" del sistema (aunque se puede llegar a perder funcionalidad). Otra contramedida posible es desactivar la casilla "compartir archivos e impresoras" que aparece en las propiedades de las interfaces de red.

Aunque el ataque no permite ejecución de código y es poco viable que pueda propagarse por la red pública, sí que puede resultar más que molesto en redes internas donde los usuarios normalmente mantienen reglas de cortafuegos mucho más relajadas. ¿Vuelven los tiempos del "ping de la muerte"?.

Más Información:

Windows Vista/7 : SMB2.0 NEGOTIATE PROTOCOL REQUEST Remote B.S.O.D.
http://g-laurent.blogspot.com/2009/09/windows-vista7-smb20-negotiate-protocol.html

Fuente:
Sergio de los Santos
http://www.hispasec.com



Otras noticias de interés:

HoneyPot: MalwareBlacklist.com
MalwareBlacklist.com, tal como su nombre lo indica, es una lista negra de malwares y URLs maliciosas. El servicio es ofrecido por la empresa de seguridad ParetoLogic y constantemente se está actualizando gracias a su honeypot y las muestras que env...
GuayanaLug: 1er Evento Regional Tecnológico Software Libre para Todos
Los amigos del Grupo GuayanaLug nos ha invitado a participar en el 1er Evento Regional Tecnológico Software Libre para Todos, que se realizará en la ciudad de Puerto Ordaz, Estado Bolívar....
Twitter cambia su política de privacidad
El microblogging está ofreciendo a sus usuarios más información sobre como gestionan los datos de las cuentas...
Juguetes electrónicos que infectan pc
Desde iPods hasta sistemas de navegación, algunos de los más populares juguetes tecnológicos que hoy día están disponibles en las tiendas, podrían contener algunos extras no deseados, preinstalados de fábrica. ...
La biometría en entredicho: falsificación de huellas dactilares
Un matemático japonés (no un ingeniero, un programador o un experto en falsificaciones, sino un matemático) ha conseguido engañar once lectores de huellas digitales invirtiendo menos de 10 dólares en material de fácil obten...
Alerta: Microsoft Windows te está instalando parches sin avisar
Un revelador documento del portal Microsoft Watch revela un descubrimiento preocupante: Windows Update está actualizando algunos componentes sin preguntar al usuario, una práctica peligrosa y muy, muy polémica....
Copia de seguridad de información en móviles
La pérdida o robo de tu teléfono móvil que usas en la empresa suele acabar en desastre, porque la mayoría de las veces contiene la única copia de tu libreta de direcciones. Mientras que es posible sustituir tu número, haciendo un cambio de SIM ...
Los filtros antispam resultan perjudiciales para las empresas
Una encuesta realizada por Fecemd pone de manifiesto que los filtros antispam son tan herméticos que impiden que la comunicación entre las empresas y sus clientes sea fluida y esto afecta directamente a los resultados económicos del negocio. ...
Arquitectura de cortafuegos
De un tiempo a esta parte el tema de moda es la seguridad; seguridad a toda costa, a todos los niveles, a cualquier precio. ...
El virus que vino del espacio
En una página web americana ha aparecido una noticia en la que se advierte de la posible aparición de virus procedente del espacio exterior. No, no es broma. Lo ha dicho Richard Carrigan, un físico del Laboratorio de Aceleración Nacional Fermi,...

Brindanos
un o una


Redes Sociales

Publicidad


Gana Bitcoins desde tu casa

Categorías


Planeta Vaslibre

Blog Roll




Nube de tags

  • anonimato
  • anonimo
  • antivirus
  • apache
  • azul
  • blog
  • bsd
  • bsod
  • bug
  • centos
  • chrome
  • cifrado
  • compartidas
  • computer
  • debian
  • exploits
  • fedora
  • fice
  • firefox
  • forense
  • freebsd
  • gentoo
  • github
  • gnome
  • gnu
  • gpl
  • gtk
  • hack
  • hacking
  • hosting
  • informatica
  • internet
  • isos
  • libre
  • licencias
  • linux
  • linuxmint
  • lxde
  • micros
  • mint
  • mit
  • mozilla
  • mysql
  • noticia
  • opensource
  • pantallazo
  • pgp
  • php
  • sabayon
  • seguridad
  • system
  • tecnologia
  • thunar
  • thunderbird
  • tor
  • traves
  • troyanos
  • tware
  • ubuntu
  • underground
  • unidades
  • vaslibre
  • virus
  • viserproject
  • vista
  • vivaldi
  • vulnerabilidades
  • web
  • website
  • windows
  • xanadu
  • xfce
  • xombra