つぶやき -17ページ目

【MS06-001】Image_WMF_Generic_RecordSize_Overflow

項目
攻撃	リモート
攻撃ポート	80
対象OS	Windows
CVE	CVE-2005-4560
MS	MS06-001

Microsoft Windows .wmf file code execution (Image_WMF_Generic_RecordSize_Overflow)
このシグネチャまたは脆弱点について
RealSecure Network Sensor、RealSecure Server Sensor:

このシグネチャは、WMF ファイルのレコードサイズをオーバーフローさせようとする試みを検出します。

デフォルトの危険度
高危険度

このシグネチャが添付されているセンサー
RealSecure Network Sensor: XPU 24.25 以降、RealSecure Server Sensor: XPU 24.25 以降

影響を受けるシステム
Windows XP: SP2、Windows XP: SP1、Windows Server: 2003、Windows Server 2003: SP1

タイプ
不正アクセスの試み

脆弱点の説明
Microsoft Windows XP SP2、XP SP1、Windows Server 2003、および Windows Server 2003 SP1 では、Microsoft Windows Meta File (WMF) のグラフィックレンダリングエンジンにおける脆弱点が原因で、リモートの攻撃者がシステム上で任意のコードを実行する可能性があります。リモートの攻撃者は、画像を含む特殊な形式の .wmf ファイルを作成し、被害者をしてそのファイルを Windows Picture および Fax Viewer で開かせたり、Internet Explorer を使用してプレビューさせたりすることで、システム上で任意のコードを実行する可能性があります。 Internet Explorer が、悪意のある .wmf ファイルを含む Web サイトの閲覧に使用されると、被害者のシステムは自動的に感染する可能性があります。被害者が悪意のあるファイルのダウンロードまたは実行を選択した場合は、Mozilla Firefox システムも脆弱であることが報告されています。

この脆弱点の解決方法
2005 年 12 月現在、対処法は見つかっていません。
一時的対処法として、信頼されていない .wmf ファイルを開いたりプレビューしたりしないでください。

詳細

Microsoft Windows GDI32.DLL WMF image rendering code execution

http://www.iss.net/security_center/static/23846.php

実証コード
先日公開された。MS06-001で対応されていない、新たな脆弱性がWMFで2件あると、「cocoruder」と呼ばれる研究者がBugtraqメーリングリストに投稿しています。

トレース

No. Time Source Destination Protocol Info

232 2006-02-04 23:25:00.099999 192.168.221.110 192.168.37.180 HTTP HTTP/1.1 200 OK (text/plain)

Frame 232 (465 bytes on wire, 465 bytes captured)

Ethernet II, Src: 00:d0:c9:96:61:5d, Dst: 00:0c:29:91:fb:12

Internet Protocol, Src Addr: 192.168.221.110 (192.168.221.110), Dst Addr: 192.168.37.180 (192.168.37.180)

Version: 4

Header length: 20 bytes

Differentiated Services Field: 0x00 (DSCP 0x00: Default; ECN: 0x00)

Total Length: 451

Identification: 0xce42 (52802)

Flags: 0x04 (Don't Fragment)

Fragment offset: 0

Time to live: 63

Protocol: TCP (0x06)

Header checksum: 0xe77e (correct)

Source: 192.168.221.110 (192.168.221.110)

Destination: 192.168.37.180 (192.168.37.180)

Transmission Control Protocol, Src Port: http (80), Dst Port: 1048 (1048), Seq: 0, Ack: 0, Len: 411

Hypertext Transfer Protocol

Line-based text data: text/plain

0000 00 0c 29 91 fb 12 00 d0 c9 96 61 5d 08 00 45 00 ..).......a]..E.

0010 01 c3 ce 42 40 00 3f 06 e7 7e c0 a8 dd 6e c0 a8 ...B@.?..~...n..

0020 25 b4 00 50 04 18 17 49 ac 86 7a ae ae 38 50 18 %..P...I..z..8P.

0030 7d 78 d7 b5 00 00 48 54 54 50 2f 31 2e 31 20 32 }x....HTTP/1.1 2

0040 30 30 20 4f 4b 0d 0a 44 61 74 65 3a 20 53 61 74 00 OK..Date: Sat

0050 2c 20 30 34 20 46 65 62 20 32 30 30 36 20 31 35 , 04 Feb 2006 15

0060 3a 31 35 3a 35 30 20 47 4d 54 0d 0a 53 65 72 76 :15:50 GMT..Serv

0070 65 72 3a 20 41 70 61 63 68 65 2f 31 2e 33 2e 31 er: Apache/1.3.1

0080 32 20 28 55 6e 69 78 29 20 20 28 52 65 64 20 48 2 (Unix) (Red H

0090 61 74 2f 4c 69 6e 75 78 29 20 6d 6f 64 5f 73 73 at/Linux) mod_ss

00a0 6c 2f 32 2e 36 2e 36 20 4f 70 65 6e 53 53 4c 2f l/2.6.6 OpenSSL/

00b0 30 2e 39 2e 35 61 20 6d 6f 64 5f 70 65 72 6c 2f 0.9.5a mod_perl/

00c0 31 2e 32 34 0d 0a 4c 61 73 74 2d 4d 6f 64 69 66 1.24..Last-Modif

00d0 69 65 64 3a 20 57 65 64 2c 20 31 31 20 4a 61 6e ied: Wed, 11 Jan

00e0 20 32 30 30 36 20 30 30 3a 31 36 3a 32 36 20 47 2006 00:16:26 G

00f0 4d 54 0d 0a 45 54 61 67 3a 20 22 32 62 30 65 38 MT..ETag: "2b0e8

0100 2d 34 34 2d 34 33 63 34 34 65 35 61 22 0d 0a 41 -44-43c44e5a"..A

0110 63 63 65 70 74 2d 52 61 6e 67 65 73 3a 20 62 79 ccept-Ranges: by

0120 74 65 73 0d 0a 43 6f 6e 74 65 6e 74 2d 4c 65 6e tes..Content-Len

0130 67 74 68 3a 20 36 38 0d 0a 4b 65 65 70 2d 41 6c gth: 68..Keep-Al

0140 69 76 65 3a 20 74 69 6d 65 6f 75 74 3d 31 35 2c ive: timeout=15,

0150 20 6d 61 78 3d 39 35 0d 0a 43 6f 6e 6e 65 63 74 max=95..Connect

0160 69 6f 6e 3a 20 4b 65 65 70 2d 41 6c 69 76 65 0d ion: Keep-Alive.

0170 0a 43 6f 6e 74 65 6e 74 2d 54 79 70 65 3a 20 74 .Content-Type: t

0180 65 78 74 2f 70 6c 61 69 6e 0d 0a 0d 0a 01 00 09 ext/plain.......

0190 00 00 03 22 00 00 00 01 00 84 43 00 00 00 00 05 ..."......C.....

01a0 00 00 00 0b 02 8b 03 3f 21 04 00 00 00 ff 00 44 .......?!......D

01b0 44 44 44 44 44 44 44 44 44 ff ff 33 33 33 33 33 DDDDDDDDD..33333

01c0 33 33 33 33 33 ff ff 41 42 43 44 03 00 00 00 00 33333..ABCD.....

01d0 00

【サイバー犯罪事件簿】2006年02月20日

----------------------------

■あまてらす

----------------------------

おはようございます。あまてらすです。

今日は、朝から打つ合わせの為、汐留へいってきます。

う＝＝＝う。眠い

----------------------------

■セキュリティニュース

----------------------------

MSサポートライフサイクルを改定、サポート終了日が月例パッチ公開日に

RSA Conference 2006：内部監視とコンプライアンス支援ツールに注目集まる

今度はBluetoothで感染するMac OS Xワーム

あんまり面白いニュースはなかったです。

----------------------------

■実証コード

----------------------------

■不正なアクセス(日本を送信元とした攻撃)

----------------------------

自分の管理するグローバルIPアドレスが以下のリストに含まれている場合は、ウィルスまたはボットワームに感染している恐れが高いです。至急ウィルススキャンを実行される事を推奨します。

211.3.183.79	HDOfa-02p7-79.ppp11.odn.ad.jp
211.120.66.200	f066200.ppp.asahi-net.or.jp
211.120.72.38	f072038.ppp.asahi-net.or.jp
211.120.73.66	f073066.ppp.asahi-net.or.jp
211.120.77.167	f077167.ppp.asahi-net.or.jp
211.120.80.120	f080120.ppp.asahi-net.or.jp
211.120.95.178	f095178.ppp.asahi-net.or.jp
211.120.142.198	zaqd3788ec6.zaq.ne.jp
211.120.147.124	zaqd378937c.zaq.ne.jp
211.120.153.88	zaqd3789958.zaq.ne.jp
211.120.161.221	zaqd378a1dd.zaq.ne.jp
211.120.172.6	zaqd378ac06.zaq.ne.jp
211.120.176.119	zaqd378b077.zaq.ne.jp
211.120.178.199	zaqd378b2c7.zaq.ne.jp
211.120.179.79	zaqd378b34f.zaq.ne.jp
211.120.179.111	zaqd378b36f.zaq.ne.jp
211.120.184.90	zaqd378b85a.zaq.ne.jp
211.133.233.135	i10-135.us.catvmics.ne.jp

【サイバー犯罪事件簿】2006年02月18日

----------------------------

■あまてらす

----------------------------

おはようございます。あまてらすです。

今日は金曜日お～～～～頑張ろう♪

----------------------------

■セキュリティニュース

----------------------------

【RSA Conference 2006】「ブラウザ上でワンタイム・パスワードを生成」，米RSAが新製品をデモ

【RSA Conference 2006】「セキュリティ製品は『自律的な対応』と『集中管理』が重要に」，米Cisco

RSA Conference 2006： セキュリティと「馬の尻」を語るISS CEO

シスコCEOのJ・チェンバース、セキュリティ戦略を語る--RSA Conference 2006にて

「非合法化こそ、最善のルートキット対策」--米国土安全保障省の職員が提案

ステータスバーを偽装可能な脆弱性に対応した「Opera」v8.52 英語版が公開

ハンガリー版「ウオーターゲート事件」、政界大揺れ

Apple、ハッカーに「詩の警告」

通信傍受を“過去のもの”にするSkypeのインターネット通話

----------------------------

■実証コード

----------------------------

ｻ 2006-02-17 : Microsoft Windows Media Player 10 Plugin Remote Code Execution Exploit (MS06-006)

http://www.frsirt.com/exploits/20060217.wmp_overflow.php

----------------------------

■不正なアクセス(日本を送信元とした攻撃)

----------------------------

125.192.38.134	FLH1Ael134.kng.mesh.ad.jp
211.0.244.247	p1247-ipbf1009marunouchi.tokyo.ocn.ne.jp
211.5.54.47	J054047.ppp.dion.ne.jp
211.9.164.101	cn101.opt2.point.ne.jp
211.11.134.226	p6226-ipad15kyoto.kyoto.ocn.ne.jp
211.120.66.47	f066047.ppp.asahi-net.or.jp
211.120.66.224	f066224.ppp.asahi-net.or.jp
211.120.73.82	f073082.ppp.asahi-net.or.jp
211.120.73.216	f073216.ppp.asahi-net.or.jp
211.120.76.40	f076040.ppp.asahi-net.or.jp
211.120.79.100	f079100.ppp.asahi-net.or.jp
211.120.83.196	f083196.ppp.asahi-net.or.jp
211.120.126.68	u4068.catv-mic.ne.jp
211.120.130.128	zaqd3788280.zaq.ne.jp
211.120.132.214	zaqd37884d6.zaq.ne.jp
211.120.134.239	zaqd37886ef.zaq.ne.jp
211.120.137.247	zaqd37889f7.zaq.ne.jp
211.120.142.135	zaqd3788e87.zaq.ne.jp
211.120.142.232	zaqd3788ee8.zaq.ne.jp
211.120.148.59	zaqd378943b.zaq.ne.jp
211.120.149.76	zaqd378954c.zaq.ne.jp
211.120.153.37	zaqd3789925.zaq.ne.jp
211.120.160.66	zaqd378a042.zaq.ne.jp
211.120.161.224	zaqd378a1e0.zaq.ne.jp
211.120.162.149	zaqd378a295.zaq.ne.jp
211.120.164.252	zaqd378a4fc.zaq.ne.jp
211.120.165.36	zaqd378a524.zaq.ne.jp
211.120.165.69	zaqd378a545.zaq.ne.jp
211.120.165.124	zaqd378a57c.zaq.ne.jp
211.120.167.163	zaqd378a7a3.zaq.ne.jp
211.120.171.84	zaqd378ab54.zaq.ne.jp
211.120.171.182	zaqd378abb6.zaq.ne.jp
211.120.172.6	zaqd378ac06.zaq.ne.jp
211.120.172.128	zaqd378ac80.zaq.ne.jp
211.120.172.187	zaqd378acbb.zaq.ne.jp
211.120.173.120	zaqd378ad78.zaq.ne.jp
211.120.173.184	zaqd378adb8.zaq.ne.jp
211.120.174.28	zaqd378ae1c.zaq.ne.jp
211.120.175.163	zaqd378afa3.zaq.ne.jp
211.120.175.240	zaqd378aff0.zaq.ne.jp
211.120.176.118	zaqd378b076.zaq.ne.jp
211.120.176.129	zaqd378b081.zaq.ne.jp
211.120.176.213	zaqd378b0d5.zaq.ne.jp
211.120.177.118	zaqd378b176.zaq.ne.jp
211.120.178.58	zaqd378b23a.zaq.ne.jp
211.120.178.63	zaqd378b23f.zaq.ne.jp
211.120.178.199	zaqd378b2c7.zaq.ne.jp
211.120.179.43	zaqd378b32b.zaq.ne.jp
211.120.179.111	zaqd378b36f.zaq.ne.jp
211.120.183.153	zaqd378b799.zaq.ne.jp
211.120.184.233	zaqd378b8e9.zaq.ne.jp
211.120.186.61	zaqd378ba3d.zaq.ne.jp
211.120.186.247	zaqd378baf7.zaq.ne.jp

【サイバー犯罪事件簿】2006年02月17日

----------------------------

■あまてらす

----------------------------

おはようございます。あまてらすです。

今日は金曜日お～～～～頑張ろう♪

----------------------------

■セキュリティニュース

----------------------------

RSA Conference 2006：継続的なセキュリティ改善を支援する2つの言語

ＭＳの攻撃コードです。試してみました。

Windows Media Playerの脆弱性「MS06-005」を突くexploitコード

Winampに2件の深刻な脆弱性

興味ありますね。

「脆弱性を生みやすいプラットフォームはどれだ？」，セキュリティ団体が実態調査

Ｗｉｎｎｙ関連　いろいろ大変ですね。

止めます！ Winnyからの情報漏えい、フォーティネット

刑務所の入所者情報がWinny上に流出 - 1万件以上か

Winny開発者の裁判に村井教授が証人として出廷、検察側の主張に異議

ISS、同社IPS製品に向けWinny通信検知シグネチャを配布

ハッカー捕まってますね。ハッカーていうより普通に犯罪者ですね。

連警、ハッカー44人を検挙＝７州で暗躍、被害総額３億Ｒ＄

1万ドルいいな～～あ

米VeriSign，「MS製品のバグ発見者に1万ドルの賞金」と発表

----------------------------

■実証コード

----------------------------

Microsoft Windows Media Player BMP Handling Buffer Overflow Exploit (MS06-005)

http://www.frsirt.com/exploits/20060215.wmp-ms06-005.cpp.php

----------------------------

■不正なアクセス(日本を送信元とした攻撃)

----------------------------

検証環境がトラブルで使用できない為、本日はお休みさせていただきます。

【情報】MS06-005 proof of concept exploit released

Published: 2006-02-16,
：２００６-０２－１６を発表しました、
Last Updated: 2006-02-16 04:03:36 UTC by Jason Lam (Version: 1)
最新アップデート：２００６-０２-１６　ジェイソン Lam によっての０４：０３：３６の UTC （バージョン：１）

The proof of concept exploit for MS06-005 has been released. The exploit craft a malicious BMP file to perform buffer overflow in Media Player. Keeping in mind as Microsoft has pointed out that the exploiting factor can include other graphics file as well (such as .wmp), it's a good idea to get it patched ASAP.
コンセプト功績の証明は MS06-005 の間リリースされました。 exploit はメディア Player であふれているバッファを行なうために悪意がある BMP ファイルを作りあげます。マイクロソフトが要因を利用することが（.wmp のように）同様に他のグラフィックスファイルを含むことができることを指摘した（とき・から・につれて・ように）、心を残して、それができるだけ早くパッチを当てられるようにすることは良い考えです。

http://ameblo.jp/amaterasu/entry-10009169548.html

（出展：ＳＡＮＳ）

【MS06-005】Image_BMP_MediaPlayer_Bo

項目
攻撃	リモート
攻撃ポート
対象OS	Windows
CVE	CVE-2006-0006
MS	MS06-005
PAM

Microsoft Windows Media Player BMP image parsing service buffer overflow (Image_BMP_MediaPlayer_Bo)
このシグネチャまたは脆弱点について
RealSecure Server Sensor、RealSecure Network Sensor:

このシグネチャは、Windows Mediaplayer でオーバーフローを引き起こす特殊な形式のビットマップイメージを検出します。

デフォルトの危険度
高危険度

このシグネチャが添付されているセンサー
RealSecure Server Sensor: XPU 24.29 以降、RealSecure Network Sensor: XPU 24.29 以降

影響を受けるシステム
Windows: Me、Windows Media Player: 7.1、Windows: 98 Second Edition、Windows: 98、Windows 2000: SP4、Windows XP: SP2、Windows XP: SP1、Windows Media Player: 10、Windows Media Player: 9、Windows Server: 2003、Windows Media Player: 8.0

タイプ
不正アクセスの試み

脆弱点の説明
Microsoft Windows Media Player は、さまざまな形式の音楽やビデオファイル用のマルチメディアプレーヤーです。 Windows Media Player バージョン 7.1、8、9、および 10 は、BMP 画像解析サービスの境界が不正なために発生する、バッファオーバーフローに対して脆弱です。リモートの攻撃者は悪意のあるビットマップファイルを作成し、被害者がそのファイルを開くとバッファをオーバーフローさせ、被害者の権限を使って被害者のシステム上で任意のコードを実行する可能性があります。攻撃者は、このファイルを Web サイト上に置いたり、電子メールとして被害者に送信するなどして、この脆弱点を悪用する可能性があります。

この脆弱点の解決方法
Microsoft Security Bulletin MS06-005 を参照して、システムに適したバッチを適用します。

詳細

Microsoft Windows Media Player BMP image parsing service buffer overflow

http://www.iss.net/security_center/static/24488.php

検証環境

優先度	OS	IP
Intruder:	RedHat	192.168.221.110
Victim:	Windows2000	192.168.221.180
センサー	ProvenitaM10	XPU1.66

実証コード

C:\>ms06005.exe

Windows Media Player BMP Heap Overflow (MS06-005)

Bug discovered by eEye

Exploit coded by ATmaCA

Web: http://www.spyinstructors.com && http://www.atmacasoft.com

E-Mail: atmaca@icqmail.com

Credit to Kozan

crafted.bmp has been created in the current directory.

イベント詳細

【2005-3116】Veritas_NetBackup_VolumeMgr_Overflow

項目
攻撃	リモート
攻撃ポート	13701
対象OS	Unix/Windows
CVE	CVE-2005-3116
MS
ＰＡＭ

VERITAS NetBackup Volume Manager Daemon (VMD) buffer overflow (Veritas_NetBackup_VolumeMgr_Overflow)
このシグネチャまたは脆弱点について
RealSecure Server Sensor、RealSecure Network Sensor:

このシグネチャは、リモートからバッファオーバーフローを引き起こす可能性がある、TCP ポート 13701 上で実行するボリュームマネージャデーモン (vmd) への特殊な形式の要求を検出します。

デフォルトの危険度
高危険度

このシグネチャが添付されているセンサー
RealSecure Server Sensor: XPU 24.29 以降、RealSecure Network Sensor: XPU 24.29 以降

影響を受けるシステム
Windows 2003: 任意のバージョン、AIX: 任意のバージョン、VERITAS NetBackup 5.1: 任意のバージョン、VERITAS NetBackup 5.0: 任意のバージョン、Windows 2000: すべてのバージョン、Tru64 UNIX: 任意のバージョン、Mac OS: 任意のバージョン、Windows: XP、Windows NT: 4.0、Linux: 任意のバージョン、IRIX: 任意のバージョン、HP-UX: 任意のバージョン、BSD: 任意のバージョン、Solaris: 任意のバージョン

タイプ
不正アクセスの試み

脆弱点の説明
VERITAS NetBackup は、バックアップ/リカバリソフトウェアソリューションです。 NetBackup バージョン 5.0 および 5.1 では、バッファオーバーフローが原因で、リモートの攻撃者がシステム上で任意のコードを実行する可能性があります。リモートの攻撃者は、サービス不能を引き起こしたり、VMD を使用してシステム上で任意のコードを実行するなどして、ボリュームマネージャデーモン (VMD) のバッファオーバーフロー脆弱点を悪用する可能性があります。

この脆弱点の解決方法
Symantec Security Advisory SYM05-024 を参照して、システムに適したパッチを適用します。

詳細

VERITAS NetBackup Volume Manager Daemon (VMD) buffer overflow

http://www.iss.net/security_center/static/22985.php

実証コード

C:\>NetBackup.exe

Veritas NetBackup v4/v5/v6 "Volume Manager Daemon" Stack Overflow.

Usage: NetBackup.exe <local ip> <local port> <remote ip> <type>

Types (tested):

0 - NetBackup v5.0_1A

NetBackup v5.0_2

NetBackup v5.0_3

NetBackup v5.1

C:\>NetBackup.exe 192.168.221.11 20 192.168.221.180 0

Veritas NetBackup v4/v5/v6 "Volume Manager Daemon" Stack Overflow.

Sending first buffer.

イベント詳細

【情報】ISS、同社製品でWinnyの通信を検知できるように

インターネットセキュリティシステムズ（ISS）は2月16日、同社のIDS（不正侵入防御）アプライアンスや脆弱性監査ツールなどにおいて、Winnyの通信を検知できるようにするアップデートの配布を開始したと発表した。

　今回、ISS配布するのはシグニチャ「Winny_P2P_Detected」で、ISSの脆弱性研究機関「X-Force」が開発したもの。このシグニチャを対象製品に適用することにより、Winnyの通信を検知し、情報漏えいを未然に防ぐことができるという。

↓以下がそのＷｉｎｎｙの通信を検知する為の「Winny_P2P_Detected」見たいです。

【情報】Linux kernel 2.6 ICMP bug resulting in remot

Published: 2006-02-15,
：２００６-０２－１５を発表しました、
Last Updated: 2006-02-15 17:45:01 UTC by William Salusky (Version: 1)
最新アップデート：２００６-０２-１５　ウィリアム Salusky によっての１７：４５：０１の UTC （バージョン：１）

Here we have a perfect example of how hard it is sometimes to stay abreast of security risks. Thanks to Ronald for the heads up, it looks like there are a few additional mailing lists I need to consider subscribing.
ここで我々は保安上の危険のそれがどれほど激しく時々並行して留まるはずであるかについての完ぺきな例を持っています。ロナルドのおかげで頭のために上へ、それは私が定期受信することを考えることを必要とする少数の追加のメーリングリストがあるように見定めます。

Over a week ago, the 2.6.15.3 Linux kernel included a patch to address a bug in the icmp_send function that would crash the kernel resulting in a DoS. The current latest stable Linux kernel is 2.6.15.4 available from http://www.kernel.org/. Details are available at http://www.securityfocus.com/bid/16532/.
１週間以上前に、２.６.１５.３の Linux カーネルは DoS をもたらしているカーネルをクラッシュさせるであろう icmp_send 機能でバグをアドレスするためにパッチを含みました。現在の最近の安定した Linux カーネルは http://www.kernel.org/ からの利用可能な２.６.１５.４です。詳細は http://www.securityfocus.com/bid/16532/ において利用可能です。

For mitigation, I choose to quote HD Moore since he has put it most simply 'The easy fix is to block ICMP until you upgrade your kernels...'. 'nuff said.
緩和のために、私は彼が最も簡単にそれを置きましたからクォート HD ムーアに決めます「あなたがあなたのカーネルをアップグレードするまで、容易な苦境は ICMP を阻止するはずです・・・。」「nuff が言った.