Angrepskode for kritiske Microsoft-feiloverflater

Bare timer etter at Microsoft postet detaljer av en kritisk Windows-feil, har nye angrepskoder som utnytter feilen, oppdaget.

Det tok utviklere av immunitetssikkerhetsprøveverktøyet to timer for å skrive utnytte dem, etter at Microsoft lanserte en patch for problemet torsdag morgen. Programvare utviklet av Immunity er gjort tilgjengelig bare for betalende kunder, noe som betyr at ikke alle har tilgang til det nye angrepet, men sikkerhetseksperter forventer at en del versjon av koden vil begynne å sirkulere offentligheten veldig snart.

Microsoft tok det uvanlige skrittet av å rushing ut en nødsituasjon patch for feilen torsdag, to uker etter merke et lite antall målrettede angrep som utnyttet feilen.

Sårbarheten var ikke kjent før torsdag; Microsoft har imidlertid gitt hackere og sikkerhetsforskere nok informasjon til å utvikle sin egen angrepskode.

Feilen ligger i Windows Server-tjenesten, som brukes til å koble forskjellige nettverksressurser som fil- og utskriftsservere over et nettverk. Ved å sende ondsinnede meldinger til en Windows-maskin som bruker Windows Server, kan en angriper ta kontroll over datamaskinen, sa Microsoft.

Det er tilsynelatende ikke mye arbeid å skrive denne typen angrepskode.

"Det er svært utnyttbar, "sa Immunity Security Researcher Bas Alberts. "Det er en svært kontrollerbar stabeloverflom."

Strekkoverflødig feil oppstår når en programmeringsfeil gjør det mulig for angriperen å skrive en kommando på deler av datamaskinens minne som normalt ville være utenfor grensene og da føre den kommandoen til å bli drevet av Offrets datamaskin.

Microsoft har brukt millioner av dollar på å forsøke å eliminere denne typen feil fra sine produkter de siste årene. Og en av arkitekterne til Microsofts sikkerhetsprosessprogram hadde en ærlig vurdering av situasjonen torsdag, og sa at selskapets "fuzzing" testverktøy burde ha oppdaget problemet tidligere. "Våre fuzz tester fikk ikke dette, og de burde ha," skrev Security Program Manager Michael Howard i en blogginnlegg. "Så vi går tilbake til våre fuzzing-algoritmer og biblioteker for å oppdatere dem tilsvarende. For hva det er verdt, oppdaterer vi hele tiden vår fuzz testing heuristics og regler, så denne feilen er ikke unik."

Mens Microsoft har advart om at denne feilen kunne bli brukt til å bygge en datamaskinorm, sa Alberts at det er lite sannsynlig at en slik orm, hvis opprettet, ville spre seg veldig langt. Det er fordi de fleste nettverk vil blokkere denne typen angrep på brannmuren.

"Jeg ser bare at det er et problem på interne nettverk, men det er en veldig ekte og utnyttbar feil," sa han.