Nieuwe MS Exploit: MS02-045

[Verwijderd]

Deze exploit leek me toch wel belangrijk genoeg om hier te plaatsen.
Ik heb het getest op ons interne netwerk waar ook een ontwikkelomgeving gelijk aan onze live webserver draait en het werkt goed (helaas). 2 Windows 2000 werkstations bleven overeind, maar 1 Windows NT 4.0 werkstation en een Windows 2000 server waren in 2 seconden over op een BSOD.

Het is zo kinderlijk eenvoudig om te gebruiken dat er hele serverparken plat kunnen worden gelegd in no-time. Het maakt gebruik van de poorten 139 en/of 445. En deze staan nogal vaak open.

Hieronder de tekst van het mailtje dat ik kreeg waarin er melding van werd gedaan:

Hi all,

I haven't seen much noise on this list about MS02-045 (Unchecked Buffer in
Network Share Provider Can Lead to Denial of Service (Q326830)), but the
implications are very nasty. Any unpatched WinNT/2K/XP or .NET machine on
your network that's listening on port 139 and/or 445 can be crashed in
about two seconds with a malformed SMB packet. I highly disagreed with
Microsoft's assessment that this was only a "moderate" threat level to
intranet and desktop systems because the exploit is so easy to perform.

It was bad enough in theory, but now a script-tot friendly GUI version of
the exploit has been posted on PacketStorm, and it works against all of
the above. You can try for yourself at
http://packetstorm.decepticons.org/0208-exploits/SMBdie.zip

We worked through the weekend to get a large percentage of our boxen
patched - you may have to do the same.

The old "WinNuke" from the evil days of Win95 is back.

Thanks for listening,

Kevin

Ik zou zeggen: Download het tooltje en testen maar.

Hier de link naar de patch van MS:
http://support.microsoft....spx?scid=KB;EN-US;q326830

[Mior]

Ow nee he, een kant-en-klaar exploit geval

Ik heb um uitgeprobeerd op m'n eigen bak, maar hij werkt niet. Toch maar patchen

[_HugoBoss_]

Als je WinXP of Win2k met SP3 draait, dan zit er in beide Operating Systemen die automatische updater.
Als je elke keer netjes de updates download en installeert, dan heb je nergens last van. Mijn systemen zijn althans "not vulnerable"..

[flat]

hier op localhost (win2k sp3)doet 'ie iig niets

en de PC van m'n ouders (winxp) crashed ook niet

[Verwijderd]

Hier w2k sp3, maar niet de laatste updates crashde mijn compu

Hoewel ik er niet van hou, toch maar de automatische updates aanzetten.

[Verwijderd]

op mijn exchange server deed ie het wel. Maar na 20 seconden ofzo resette de server zichzelf wel.

ps: Volgens mij is het niet toegestaan om exploits e.d te posten

[Verwijderd]

_HugoBoss_ schreef op 28 augustus 2002 @ 11:34:
Als je WinXP of Win2k met SP3 draait, dan zit er in beide Operating Systemen die automatische updater.
Als je elke keer netjes de updates download en installeert, dan heb je nergens last van. Mijn systemen zijn althans "not vulnerable"..

De patch in het MS linkje zit volgens mij nog niet bij de Windows Update pagina, en dat is volgens mij de lokatie waar de automatische updater kijkt voor z'n updates.

Dus feit dat je systeem not vulnerable is heeft met iets anders te maken dan met geinstalleerd zijn van de patch lijkt me.

[Verwijderd]

Verwijderd schreef op 28 augustus 2002 @ 11:43:
op mijn exchange server deed ie het wel. Maar na 20 seconden ofzo resette de server zichzelf wel.

ps: Volgens mij is het niet toegestaan om exploits e.d te posten

Ehm... Als dat niet is toegestaan: Sorry...

[flat]

ik snap waarom mijn systemen gewoon bleven draaien: ik gebruik die hele SMB-handel in windows niet... dus op port 139 is helemaal niets

[Koffie]

Handig die info, thx for that
Maar het lijkt me nou niet echt de bedoeling dat iedereen gaat posten dat het wel of niet werkte bij hem/haar/het