CERT-FI haavoittuvuustiedote 003/2001

28.12.2001

Haavoittuvuuksia UPnP-palvelussa (Microsoft Windows)

Kohde:	- työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- etäkäyttö	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen - käyttövaltuuksien laajentaminen - palvelunestohyökkäys	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys - ongelman rajoittaminen	Lisätietoja

Haavoittuvuudet Universal Plug and Play (UPnP) –palvelussa mahdollistavat sisääntunkeutujalle ohjelmakoodin ajamisen pääkäyttäjän oikeuksilla, kohdistamaan palvelunestohyökkäyksen haavoittuviin järjestelmiin ja käyttämään haavoittuvia järjestelmiä palvelunestohyökkäyksiin kolmansia osapuolia kohtaan. UPnP-palvelu on oletuksena aktvoitu Windows XP –käyttöjärjestelmässä. Windows ME –käyttöjärjestelmässä UPnP-palvelu ei ole oletuksena aktivoitu Microsoftin toimesta. UPnP-palvelu voidaan asentaa myös Microsoft Windows 98 ja Microsoft Windows98SE –käyttöjärjestelmiin (Windows XP Internet Connection Sharing Client –ohjelma).

Vaarallisin haavoittuvuuksista liittyy koodiin joka käsittelee UPnP NOTIFY –sanomia. Hyökkääjä voi lähettää NOTIFY-sanoman joka voi käynnistää minkä tahansa tunkeutujan haluaman tietojärjestelmään asennetun ohjelman pääkäyttäjän oikeuksilla. Tämä voi mahdollistaa hyökkääjälle haavoittuvan tietojärjestelmän täydellisen haltuunoton.

Toinen UPnP-palveluun liittyvä haavoittuvuus mahdollistaa hyökkääjälle kuluttaa haavoittuvan koneen resursseja aiheuttaen palvelutason laskua. Haavoittuvaa konetta voidaan käyttää myös palvelunestohyökkäyksissä kolmansia osapuolia kohtaan.

Microsoft on luokitellut haavoittuvuuden Critical-luokkaan.

HAAVOITTUVAT OHJELMISTOT:

Microsoft Windows XP
Microsoft Windows ME
Microsoft Windows 98
Microsoft Windows 98SE

Windows 98 ja Windows 98 SE ovat haavoittuvaisia vain jos Windows XP Internet Connection Sharing Client on asennettu.

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä käyttöjärjestelmä Microsoftin bulletiinin MS01-059 ohjeiden mukaisesti.

UpnP-haavoittuvuuden hyväksikäyttämistä päivittämättömiin tietojärjestelmiin voidaan rajoittaa estämällä pääsy IP-portteihin 1900 ja 5000 verkon rajalla. Pääsynesto ei estä hyökkäystä sisäverkosta. On huomioitava että Microsoft Internet Connection Firewall –palomuuri ei anna täydellistä suojaa UPnP-haavoittuvuuteen liittyviltä hyökkäyksiltä. UPnP-palvelu voidaan poistaa järjestelmistä joissa sitä ei tarvita.

LISÄTIETOA:

http://www.microsoft.com/technet/security/bulletin/MS01-059.asp
http://www.cert.org/advisories/CA-2001-37.html
http://www.eeye.com/html/Research/Advisories/AD20011220.html

PÄIVITYSHISTORIA:

28.12.2001: Julkaistu

Sivua päivitetty 22.08.2007

Tulostusversio