Microsoft Windows WMF işleme güvenlik açığı

windows xp professional 2002 güncelle nasıl yapacam lütfen yardımcı olunya anlamıyorum zaten birde dogrulanmıyor kaçakmı yüklemiş ne yapmış pc kuran kişi ne yapcam bennnn

ilginc bir nokta var, securityfocus'daki vulnerable product listesinde bunlar da var:
IBM Lotus Notes 6.5.4
IBM Lotus Notes 6.5.3
IBM Lotus Notes 6.5.2
IBM Lotus Notes 6.5.1
IBM Lotus Notes 6.5

bir yandan da yabanci listelerde h.d. moore'a fena sekile yukleniyorlar; "ids'lerin henuz tanimadigi 0day'i metasploit'e eklemenin arkasinda yatan amac nedir" diyerek. imho, ids'lerin artik cok zayif onlemler oldugunu gostermek acisindan harika oldu bu acigin exploitiyle birlikte yayinlanmasi. insanlar sadece ids'ler ile korunamayacagini anlamali, string kontrolunden daha ciddi onlemlere yonelmeli, falan falan..

ids'lerin tanımadığı derken, hangi IDS leri kastediyorlar? HD moore da peygamber değil yani birtek onun kafası bassın bu açığa.
- ISS bunun korumasını 28 aralıkta eklemişti:
http://xforce.iss.net/xforce/alerts/id/211
- McAfee'de Intrushield IPS e 29 aralıkta eklemişti bu açıkla ilgili tanımları.
- H.D. Moore ise Metasploit'in modülünü 31 aralıkta duyurdu.
http://www.metasploit.com/archive/framework/msg00755.html

Günümüzdeki gelişmiş IDS/IPS'lerin sadece string kontrolü yaptığını düşünmek de çok yanlış. Pattern-matching tabiki yetersiz. Bunu da protokol analizi, buffer-overflow protection vb pek çok özelliği de ekleyerek gidermeye çalıştılar, çalışıyorlar.

Sadece IDS/IPS ile korunmak diye birşey olamaz zaten. Layered-defense mantığı ile hareket etmeli her zaman. IDS/IPS'de gerekli önlemlerden sadece biri.

Sir Vivor

> ilginc bir nokta var, securityfocus'daki vulnerable product
> listesinde bunlar da var:
> IBM Lotus Notes 6.5.4
> IBM Lotus Notes 6.5.3
> IBM Lotus Notes 6.5.2
> IBM Lotus Notes 6.5.1
> IBM Lotus Notes 6.5
>
> bir yandan da yabanci listelerde h.d. moore'a fena sekile
> yukleniyorlar; "ids'lerin henuz tanimadigi 0day'i
> metasploit'e eklemenin arkasinda yatan amac nedir" diyerek.
> imho, ids'lerin artik cok zayif onlemler oldugunu gostermek
> acisindan harika oldu bu acigin exploitiyle birlikte
> yayinlanmasi. insanlar sadece ids'ler ile korunamayacagini
> anlamali, string kontrolunden daha ciddi onlemlere
> yonelmeli, falan falan..
>

sımdı bundan etkilenmemek sanırım elde değil. tamam antilerimizi en son guncellicez ie yi yuksek sevıyeye getiricez. peki bu acıgın exploiti nerdedir onu nerden bulucaz onun hakkında hıc bilgi verılmemiş , en azından kullanılan exploiti incelersek daha detaylı değişik cozum yollarıda uretebiliriz. panzehir olayı yani...

Mcafee Kullanıcıları için:
Mcafee nin extra.dat file ının manuel olarak indirilmesini ve dat ın geçilmesi gerekmekte.
http://vil.mcafeesecurity.com/vil/content/v_137760.htm



*** İlgili açık için Micrasoft Patch çıkartana kadar aşağıdaki yöntem tavsiye edilmektedir.
Microsoft's bulletin confirms that this vulnerability applies to all the main versions of Windows: Windows ME, Windows 2000, Windows XP and Windows 2003.
They also list the REGSVR32 workaround. It's a good idea to use this while waiting for a patch. To quote Microsoft's bulletin:
 Un-register the Windows Picture and Fax Viewer (Shimgvw.dll)
 1. Click Start, click Run, type "regsvr32 -u %windir%\system32\shimgvw.dll"
 (without the quotation marks), and then click OK.
 2. A dialog box appears to confirm that the un-registration process has succeeded.
 Click OK to close the dialog box.
 Impact of Workaround: The Windows Picture and Fax Viewer will no longer be started
 when users click on a link to an image type that is associated with the Windows Picture and Fax Viewer.

Kaynak:
http://www.f-secure.com/weblog/


@ziz Bilgili

F-secure sitesinde daha sonraki yazılarda @ziz arkadaşımızın yazdığı önerinin tamamen açığı kapatmadığını söylüyorlar. Örnek olarak MSPAINT'in açıktan halen etkilendiğini ve Ilfak'ın (respect!) hazırladığı fix'i öneriyorlar:
http://www.f-secure.com/weblog/archives/archive-122005.html#00000756
Internet Storm Center'da aynı çözümü öneriyor:
http://isc.sans.org/diary.php?rss&storyid=996

10 Ocak'da yama çıkana kadar geçici olarak bu şekilde koruma sağlanabilir.
http://www.hexblog.com/2005/12/wmf_vuln.html

> use this while waiting for a patch. To quote Microsoft's
> bulletin:
> Un-register the Windows Picture and Fax Viewer
> (Shimgvw.dll)
> 1. Click Start, click Run, type "regsvr32 -u
> %windir%\system32\shimgvw.dll"
> (without the quotation marks), and then click OK.
> 2. A dialog box appears to confirm that the
> un-registration process has succeeded.
> Click OK to close the dialog box.
> Impact of Workaround: The Windows Picture and Fax Viewer
> will no longer be started
> when users click on a link to an image type that is
> associated with the Windows Picture and Fax Viewer.
>
> Kaynak:
> http://www.f-secure.com/weblog/
>
>
> @ziz Bilgili

http://www.hexblog.com/2005/12/wmf_vuln.html

yukarıdaki site forbidden hatası veriyor.başka bir siteden bu dosyayı alamazmıyız??

The hotfix for the WMF vulnerability can be downloaded from any the following URLs:
http://www.grc.com/miscfiles/wmffix_hexblog14.exe
http://handlers.sans.org/tliston/wmffix_hexblog14.exe
http://castlecops.com/modules.php?name=Downloads&d_op=getit&lid=496
http://csc.sunbelt-software.com/wmf/wmffix_hexblog14.exe
http://www.antisource.com/download/wmffix_hexblog14.exe
http://hexblog.axmo12.de/wmffix_hexblog14.exe
http://www.dsinet.org/files/wmffix_hexblog14.exe
http://lab.nsl.it/wmffix_hexblog14.exe
The MD5 checksum of the file is 15f0a36ea33f39c1bcf5a98e51d4f4f6.

>
> http://www.hexblog.com/2005/12/wmf_vuln.html
>
> yukarıdaki site forbidden hatası veriyor.başka bir siteden
> bu dosyayı alamazmıyız??
>
>

Arkadaşlar bu açık Service Pack 2'de etkili mi bilen var mı ?

En son siteye ben geçenlerde girmiştim tarattım
Win32:Harnig-H [Trj] ve bir tane daha trojan buldu şimdi ismini unuttum.

O siteye girdikten sonra her butona bastığımda "Internet adlı hedefe bilgi gönderdiğiniz için bu bilgileri başkalarıda görebilir devam etmek istiyormusunuz" tipinde yazı çıkıyor.

Bundan nasıl kurtulabiliriz ?

Evet, SP2 yi de etkiliyor. Antivirüs yazılımını güncelle. Internet Explorer'da güvenlik seviyesini "High"a (Yüksek) ayarla. .... devam etmek istiyormusunuz diye soran site hangisi? Güvenilmeyen bir site ise "Hayır"a tıkla.

> Arkadaşlar bu açık Service Pack 2'de etkili mi bilen var mı
> ?
>
> En son siteye ben geçenlerde girmiştim tarattım
> Win32:Harnig-H [Trj] ve bir tane daha trojan buldu şimdi
> ismini unuttum.
>
> O siteye girdikten sonra her butona bastığımda "Internet
> adlı hedefe bilgi gönderdiğiniz için bu bilgileri
> başkalarıda görebilir devam etmek istiyormusunuz" tipinde
> yazı çıkıyor.
>
> Bundan nasıl kurtulabiliriz ?