[MS/Windows 98,ME,XP] Buffer overflow bug im UPnP
(2001-12-21 12:00:04+00) Druckversion
Quelle: http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS01-059.asp
Durch eine Schwachstelle im Universal Plug and Play (UPnP) von Microsoft Windows XP, ME und 98 kann ein Angreifer über das Netzwerk beliebigen Programmcode mit administrativen Privilegien ausführen. Ein Angriff kann dabei gleichzeitig auf mehrere Systeme erfolgen (multicast bzw. broadcast).
Betroffene Systeme
- Microsoft Windows 98
- Microsoft Windows 98 SE
- Microsoft Windows ME
- Microsoft Windows XP
Einfallstor
Universal Plug and Play (UPnP) Port 1900 und 5000.
Ein Angriff kann über unicast auf einen einzelnen Rechner oder
über multicast bzw. broadcast auf ein Netzwerksegment
stattfinden.
Auswirkung
- Ausführung von beliebigem Programmcode mit SYSTEM-Privilegien
- Denial of Service (DoS) bzw. Distributed Denial of Service (DDoS)
Typ der Verwundbarkeit
- buffer overflow bug
- Denial of Service (DoS)
Gefahrenpotential
- sehr hoch (remote root exploit)
- hoch
Beschreibung
Der Universal Plug and Play
(UPnP) Dienst, welcher Peer-to-peer Plug and Play
Funktionalitäten für Netzwerkgeräte bereitstellt, weist mehrere
Schwachstellen auf. Der UPnP-Dienst wird bei Windows ME nicht standardmässig installiert, jedoch liefern einige
OEM-Händler Windows ME mit aktiviertem UPnP aus. Bei Windows XP wird der
UPnP-Dienst standardmässig installiert. Windows 98 und 98SE sind nur
betroffen, wenn der Internet Connection Sharing Client,
welcher mit Windows XP ausgeliefert wird, auf dem System installiert
wurde.
- Durch einen Pufferüberlauf in der Komponete die NOTIFY-Direktiven
verarbeitet, kann mittels speziell formulierter NOTIFY-Nachrichten an ein
System mit verwundbarem UPnP-Dienst, beliebiger Programmcode mit
SYSTEM
-Privilegien ausgeführt werden. Ein Angreifer kann solche NOTIFY-Nachrichten über das Netzwerk mittels unicast an einzelne Rechner oder mittels multicast bzw. broadcast an ein Netzsegment versenden und somit gleichzeitig zahlreiche Systeme kompromittieren. - Durch Senden speziell angepasster NOTIFY-Nachrichten an ein
System mit verwundbarem UPnP-Dienst kann das beherbergende System lahmgelegt werden.
Dazu könnte ein Angreifer beispielsweise eine NOTIFY-Nachricht
mit gefälschter Absenderadresse versenden, die angibt, dass
Informationen über ein neues UPnP-Device von einem bestimmten Server
über einen bestimmten Port zu beziehen sind. Sind auf dem angegebenen
Server beispielsweise die "Standard TCP/IP-Dienste" wie
ECHO aktiv, so könnte die NOTIFY-Nachricht auf Port 7 (
ECHO) des Servers verweisen, wodurch die Anfragen des Clients am Server zurückgesendet wird und eine Endlos-Schleife erzeugt. Dies hätte 100% CPU Auslastung auf dem Client zur Folge.
Wird diese NOTIFY-Nachricht mittels multicast oder broadcast an ein Netzwerksegment gesendet, so kann damit ein Distributed Denial of Service (DDoS) gegen den angegebenen Server stattfinden.
Workaround
Filterung des UPnP-Dienstes mittels eines Paketfilters der Ports 1900
und 5000.
Hinweis: Diese Maßnahme beseitigt nicht die Schwachstelle sondern schränkt lediglich die Zahl der potentellen Angreifer ein.
Gegenmaßnahmen
Microsoft stellt Patches zur Verfügung:
- Microsoft Windows 98/98SE:
http://www.windowsupdate.com
oder
http://www.microsoft.com/Downloads/Release.asp?ReleaseID=34991 - Microsoft Windows ME:
http://www.windowsupdate.com
oder
http://download.microsoft.com/download/winme/Update/22940/WinMe/EN-US/314757USAM.EXE - Microsoft Windows XP:
http://www.microsoft.com/Downloads/Release.asp?ReleaseID=34951
Vulnerability ID
- CAN-2001-0876 (buffer overun)
- CAN-2001-0877 (Denial of Service)
Weitere Information zu diesem Thema
- Microsoft Security Bulletin MS01-059 Unchecked Buffer in Universal Plug and Play can Lead to System Compromise
- CERT® Advisory CA-2001-37 Buffer Overflow in UPnP Service On Microsoft Windows
- eEye
Weitere Artikel zu diesem Thema:
- [MS/Windows ME] Patch für UPnP-Schwachstelle verfügbar (2001-11-14)
Microsoft stellt einen korrigierten Patch für die UPnP-Schwachstelle in Windows ME zur Verfügung. - [MS/Windows ME] Fehlerhafter Patch für UPnP-Schwachstelle (2001-11-09)
Der von Microsoft zur Verfügung gestellte Patch für die UPnP-Schwachstelle in Windows ME ist fehlerhaft. - [MS/Windows 98, ME, XP] DoS Angriff über Universal Plug and Play Request (2001-11-05)
Durch spezielle Universal Plug and Play (UPnP) Anfragen können Microsoft Windows 98, ME und XP Systeme lahmgelegt werden.
Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der
Universität Stuttgart recherchiert und zusammengestellt. Die Universität
Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel
darf ausschließlich in unveränderter Form und nur zusammen mit diesem
Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine
Veröffentlichung unter diesen Bedingungen an anderer Stelle ist
ausdrücklich gestattet.
Copyright © 2018 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/
Vorherige Meldung | Weitere Meldungen... | Nächste Meldung |
Bitte lesen Sie auch die Grundsätze, nach denen das RUS-CERT Tickermeldungen veröffentlicht. Der regelmäßige Bezug von Tickermeldungen über E-Mail und RSS-Feed ist ebenfalls möglich.