Windows SSL/TLS Flaw Is No Heartbleed

windows

АНАЛИЗ НОВОСТЕЙ Спустя неделю после носителей раздувает по патчу Windows SSL/TLS, он не был использован. Все же другая Microsoft Patch во вторник обновления была уже использована.Среди 33 дефектов, для которых Microsoft поставила исправления в своем Патче во вторник, обновляют, на прошлой неделе был CVE-2014-6321, удаленная уязвимость выполнения кода в технологии безопасности Microsoft Secure Channel (Schannel), которая обеспечивает Уровень защищенных сокетов / безопасность Транспортного уровня (SSL/TLS) криптографические возможности.

Несмотря на то, что много сообщений средств массовой информации на прошлой неделе утверждали, что дефект Schannel был Windows, эквивалентным из низкой уязвимости Heartbleed, дело не в этом. Реальная уязвимость, по поводу которой должны быть взволнованы пользователи, является чем-то еще полностью.Уязвимость Heartbleed-a в OpenSSL с открытым исходным кодом криптографическая библиотека, широко пользовавшаяся в серверах, системах конечного пользователя и мобильных устройствах – была использована быстро. В одном высококлассном случае Heartbleed использовался для нападения на Канадское Агентство по Доходу, задерживая налоговую дату регистрации десятков миллионов канадцев.

Однако спустя неделю после того, как Microsoft исправила уязвимость Schannel, она не оказала такого влияния. Фактически, первый код подтверждения концепции (POC) для CVE-2014-6321 уязвимости только теперь только что появился.

Джош Фейнблум, вице-президент информационной безопасности в Rapid7, сказал eWEEK, что до настоящего времени его фирма не видела, что любые полезные нагрузки включают удаленное выполнение кода в результате CVE-2014-6321. Rapid7 является также основным коммерческим спонсором позади платформы испытания на пенетрацию Metasploit с открытым исходным кодом, которая часто является землями эксплоитного кода первого места в форме, которую исследователи могут использовать для тестирования уязвимостей.

«Команда содержания Metasploit и сообщество исследовали проблему, но никакие полезные нагрузки не неизбежны», сказал Фейнблум.Роберт Фримен, научный руководитель X-силы IBM, сказал eWEEK, что его организация не заметила в-диком, что эксплуатация CVE-2014-6321 Schannel выходит также.«Я видел некоторую неподтвержденную информацию, что Неприкосновенность работает над модулем для их продукта ХОЛСТА, но я не имею, видят что-либо общедоступное на этом», сказал Фримен. «Я подозреваю, что использование этой ошибки не тривиально, и это могло бы быть склонным для порождения катастрофических отказов вместо удаленного выполнения кода».

Фирма безопасности BeyondTrust опубликовала сообщение в блоге с одним из самых обширных описаний проблемы CVE-2014-6321. Цель сообщения в блоге состоит в том, чтобы проиллюстрировать публично, что существуют некоторые серьезные Schannel-связанные уязвимости, которые были фиксированы, Марк Мэйффрет, CTO BeyondTrust, объясненного eWEEK. «Это полезно и для поставщиков защиты, чтобы проверить их смягчение и проиллюстрировать важность для команд безопасности IT-систем для создания этого приоритетным патчем, чтобы развернуться, если они уже не имеют», сказал Мэйффрет. «При создании полного, работы, надежное использование для любой из этих уязвимостей Schannel является все еще трудным, но это – больше вопрос времени в некоторых случаях».Сама Microsoft не показала много подробности о дефектах Schannel.

Исследовательская группа BeyondTrust использовала несколько методов реверсивного проектирования, чтобы обнаружить, что код изменяется между исправленным и неисправленным кодом, сказал Мэйффрет. «Это помогло сузить в частности, как в конечном счете воспроизвести и инициировать дефект», сказал он.Хотя BeyondTrust был в состоянии вырыть в дефект, он не видел общедоступного использования для уязвимости. «Мы видели много дебатов вокруг этого определенного бюллетеня Защиты Microsoft и просто хотели добавить, что мы знаем в соединение, чтобы помочь людям лучше приоритезировать эту уязвимость», сказал он.Что используется?

В то время как CVE-2014-6321 уязвимость активно не используется, другие уязвимости, фиксированные Патчем в ноябре Microsoft во вторник, обновление является другой историей.«Мы видели полезные нагрузки для уязвимости Internet Explorer, исправленной MS14-064», сказал Фейнблум Rapid7.Обновление MS14-064 является кумулятивным обновлением для браузера Internet Explorer Microsoft, который фиксирует 17 различных CVEs.Другой набор высокоприоритетных исправлений в Патче в ноябре Microsoft во вторник обновление был для CVE-2014-6352 и CVE-2014-6332.

Проблема CVE-2014-6352 связана с дефектом Sandworm, идентифицированным как CVE-2014-4114, который является дефектом нулевого дня в связывании объектов и встраивании Microsoft (OLE) технология.«CVE-2014-4114 связан с CVE-2014-6352 в тех 6352, другой путь к той же проблеме», сказал Фримен IBM. «Мое раскрытие, CVE-2014-6332, также влияет на OLE, но новым способом».

Посредством нападения манипулирования данными много сценариев эксплуатации возможны с CVE-2014-6332, включая выполнение небезопасных COM-объектов на всех версиях Windows, от Windows 95 вперед, объяснил Фримен. Это означает, что CVE-2014-6332 является потенциально дефектом, который занял 19 лет, которые будут обнаружены и фиксированы. «Короткий ответ, я не знаю, почему он занял много времени для этой ошибки, которая будет раскрыта», сказал Фримен. «Возможно, что другие исследователи, возможно, столкнулись с ним и вероятно отбросили его, потому что это чрезвычайно сложно для использования».Та сложность также переводит в отсутствие эксплуатации также.

Фримен отметил, что в течение прошлых шести месяцев, IBM контролировал для использования CVE-2014-6332 в дикой природе и не обнаружил деятельности на данный момент.«Однако модуль Metasploit был выпущен для CVE2104-6332 в четверг [13 ноября]», сказал Фримен.Шон Майкл Кернер является главным редактором eWEEK и InternetNews.com.

Следуйте за ним в Твиттере @TechJournalist.


8 комментариев к “Windows SSL/TLS Flaw Is No Heartbleed”

  1. В Белгород-Днестровском районе достраивают новейшую энергоэффективную ветряную электростанциюПервая тестовая вышка уже установлена в Удобном, в течение месяца аналогичную установку в тестовом режиме запустят в Семеновке. Следующим этапом станет установка 8-10 ветряков, общей мощность до 150 МВт. Проект финансируется международными инвесторами, его общая стоимость составляет 200 миллионов евро.

  2. Страна, которая за год взяла фанерный рейхстаг, победила Вейшнорию, Весбарию и Лубению, конечно же, находится на планете Земля… А ещё она угрожает Украине…

  3. Радченко Дарья

    осталось сделать фотографии и разбросать листовки над Украиной с надписью: сдафайтесь украинцы, мы вас накормим, обогреем, оденем и дадим работу на керченском мосту

Оставьте комментарий