Mais uma brecha na segurança do Windows

Arthur Andrade
(usa Debian)

Enviado em 27/08/2010 - 15:47h

Bom pessoal, vi isso no G1 hoje. É um pouco antigo (ontem, =P).
Mas não sei já viram.

Vou postar o texto aqui para quem não quer ler no site:
######################################################################

A divulgação de uma falha no iTunes pela empresa de segurança Acros mostrou que um comportamento inseguro do Windows pode ter consequências graves. O erro existe na maneira que o Windows procura pelas bibliotecas de arquivos necessárias para que um programa funcione. Um hacker pode fazer com que um arquivo do tipo DLL, utilizado por diversos programas, seja carregado a partir da rede, permitindo que a simples abertura de uma música MP3, documento de texto ou uma planilha, por exemplo, resultem na execução de um vírus no sistema.

DLLs são como coleções de códigos compartilhados, disponibilizados no próprio Windows para serem usados por qualquer programa compatível com o sistema operacional. Seu uso facilita a distribuição e o desenvolvimento dos programas, já que não é preciso "reinventar a roda" toda vez que se cria um novo software. Basta recorrer aos arquivos DLL.

O problema é que o Windows procura pelo arquivo DLL na mesma pasta onde o arquivo foi aberto. Com isso, um arquivo MP3 aberto em um servidor malicioso faria com que o reproduto de mídia – se vulnerável – carregasse um DLL a partir da mesma pasta em que está localizado o MP3, ou seja, no servidor malicioso. Alguns programas dependem desse comportamento para funcionar; a Microsoft criou uma correção “opcional”, porque corrigir o problema definitivamente para todos os programas pode causar problemas.

O especialista em segurança HD Moore, que é desenvolvedor do software Metasploit na Rapid7, afirmou ter conhecimento de pelo menos 40 outros programas que sofrem com a brecha. Além do iTunes, que já foi corrigido, programas populares como o Firefox, o reprodutor de mídia VLC e o Power Point estão vulneráveis.

Os programas vulneráveis terão de receber atualizações separadas. Como cada software abre arquivos de tipos diferentes, é difícil saber como criminosos poderão explorar essa falha na rede. Se isso não acontecer, ainda é possível que ela seja utilizada em ataques específicos contra empresas.

Em outro cenário de ataque, um invasor pode plantar um arquivo DLL em um sistema no qual ele não tem permissões administrativas. Quando um administrador for usar o computador, o software vulnerável irá carregar a DLL plantada, dando o controle total da máquina ao hacker.

Correção opcional
A Microsoft disponibilizou uma atualização que cria uma opção de configuração no sistema para que o comportamento inseguro de buscar arquivos DLL em algumas pastas seja desativado.

Segundo a empresa, alguns programas, que não seguem as recomendações de boas práticas da Microsoft, podem parar de funcionar. O guia instrui os programadores a especificarem um caminho completo até a DLL para que o sistema não tenha de procurá-la ou, pelo menos, impedir o sistema de buscar uma DLL na “pasta atual” (que seria a pasta onde se localiza a foto, música ou documento que foi aberto). Entre os softwares afetados pelo problema estão, porém, programas da própria companhia.

Problema conhecido
Em 2009, uma correção para o Internet Explorer eliminava um problema que permitia que arquivos maliciosos fossem carregados se estivessem armazenados na área de trabalho. O problema funcionava em conjunto com uma falha do navegador web Safari conhecida como “carpet bomb”, que permitia a criminosos baixarem arquivos para a área de trabalho.

Usando a falha do Safari, o arquivo era baixado. Usando a falha do Internet Explorer, o programa malicioso era executado.

Além desse problema envolvendo os dois navegadores, no entanto, o comportamento do Windows ao pesquisar DLLs nunca foi considerado grave. A pesquisa da Acros divulgando a falha no iTunes mudou isso, no entanto.

################################################################################
Link para quem quer ver no site:
http://g1.globo.com/tecnologia/noticia/2010/08/brecha-sem-correcao-no-windows-afeta-mais-de-40-progr...

Tio Bill dando dor de cabeça para os desenvolvedores. =P

stremer
(usa Arch Linux)

Enviado em 27/08/2010 - 16:27h

não vejo como grave... afinal, precisa de permissão de admin para executar como qualquer outro programa. O perigo mesmo é na rede.
Não é bem uma falha se for pensar, é caracteristica de procurar dll no current dir... em linux um script pode fazer a mesma coisa modificando a library path...

o problema do windows é que é muito dificil utiliza-lo sem ser um usuário administrador, pois grande parte dos programas exigem esse tipo de permissão, além é claro dos usuários toscos que acham que ser administrador da máquina é sinônimo de usuário todo poderoso!

Teixeira
(usa Linux Mint)

Enviado em 27/08/2010 - 17:08h

Sempre existiu no Windows esse tipo de fragilidade no tocante a manipulação de DLLs por programas alheios que fazem o que bem entendem no Pc dos outros...
Afinal elas existem justamente para dar uma melhor funcionalidade a esses programas, sem que o desenvolvedor tenha de quebrar muito a cabeça.
Se isso para eles é uma boa coisa, todavia é uma faca de dois gumes no tocante a vulnerabilidade.

Contudo, o que mais existia anteriormente era a substituição de uma DLL "da Microsoft" por outra "melhor" de mesmo nome e que, quando se removia o "programa novato", saía junto, deixando o usuário a ver navios e tendo de procurar DLLs pela internet afora.
E qualquer programa alheio pode perfeitamente introduzir ou manipular DLLs no Windows (por exemplo os discadores das operadoras de telefonia e até mesmo aqueles de sites pornográficos).

Isso sempre existiu e não é de forma alguma "águas passadas".

É contudo uma POSSIBILIDADE a ser EVENTUALMENTE explorada por pessoas maliciosas, e não um risco imediato.
Não deixa de ser grave, como aliás sempre foi, mas não é de uma "gravidade urgente".

Consideremos que também o Linux tem alguma fragilidade no tocante a alguns aspectos, e que se forem exploradas com conhecimento de causa, E SE houver uma conjunção de eventos, CERTAMENTE trarão prejuízos.

Interessante como a notícia procura tirar o foco de uma deficiência que sabidamente é da Microsoft, pulverizando-a para o lado do Firefox, do Safari e de OUTROS programas.
Esse tipo de informação sutil forma opinião negativa por parte de muitas pessoas menos esclarecidas.

E simplesmente mudar a maneira do S.O. buscar pelas DLLs não resolve o problema. Basta o software mandar fazer uma busca que o próprio Windows a fará alegre e automaticamente.

É a mesma coisa a preocupação com segurança de senhas, onde senhas de mais de 8 dígitos são consideradas "mais fortes" que as de 6, e que devem misturar caracteres maiúsculos e minúsculos com algarismos.

Se um hacker verdadeiro realmente desejar capturar uma senha que siga apenas esses critérios, levará apenas 2 minutos no máximo para obtê-la, copiá-la e colá-la onde bem interessar.

O problema é que toda senha, se não for digitada em teclado virtual, será armazenada em "um determinado lugar" onde será facilmente encontrada.

E nao interessa se for algo do tipo
"ocTub1W2m@3a4I5nOOOOO0O0OO0O06r7T8e9p0%U9k8r7X6a*5v4f3r2a1a"
(onde os OOOOO são uma alternância de zeros e Ós) pois um hacker estará buscando "outra coisa" que não as keytrokes complicadas.
Sendo o caso, será uma senha tão "forte" quanto "123456"...

Não vamos entrar em detalhes, para não entregar o ouro aos bandidos, não é mesmo? Mas a coisa é desconcertante e infelizmente simples.

stremer
(usa Arch Linux)

Enviado em 27/08/2010 - 18:59h

LoadLibrary é API do windows para buscar dll... quem diz para ela onde buscar é quem faz o programa...
ela possibilita procurar dlls no diretório de execução pois o programa pode querer ser portavel e distribuir as dlls no mesmo dir sem de ter registra-las...
da mesma forma que o programa pode especificar onde procurar e não ter este problema.
O que a microsoft fez foi melhor ainda, pois ela fez uma "correção" que permite que você passe por cima do programa e não procure em determinados locais... isso pq esse recurso pode mesmo causar uma falha de segurança.
Da mesma forma que se você mudar o library path do linux pode fazer um programa achar uma biblioteca (.so que é a dll do linux) maliciosa no lugar da original...
isso é uma caracteristica, e não falha...
é a mesma coisa que falar que sudo rm -rf /* é uma falha de segurança...
usuário administrador e root podem ferrar mesmo com o sistema... nesse ponto o windows ainda bloqueio uma série de coisas... no linux se for ver tdo que o root pode fazer então a coisa é pior ainda... o problema é que no windows é comum utilizar o pc como administrador, no linux não, essa é a diferença, mesmo nos windows mais novos com UAC e tudo mais, sem ser administrador pouco faz...

dessa vez (eu to dizendo dessa vez)... não é uma falha grave da microsoft...

Teixeira
(usa Linux Mint)

Enviado em 27/08/2010 - 20:11h

Conforme você mesmo afirma, isso é uma característica e não uma falha.
É verdade.
E para "corrigir", isso teria de ser refeito tudo a partir do zero, o que não seria nada prático - nem necessário.
Dá para conviver com isso, assim como com aquele "bug" do coprocessador matemático dos primeiros Pentium, que apenas se manifestava em operações complexas e de precisão super-crítica.
Vamos considerar que embora o sistema POSSA SER atacado por aí, não é qualquer um que toma por esse caminho.
E se não houvesse essa "brecha" não haveria facilidade alguma para programar para windows.
Portanto, considerando os prós e os contras, chega-se à conclusão de que dá para contornar esses problemas de forma externa, sem ter de mexer "no Windows" em si.

Teixeira
(usa Linux Mint)

Enviado em 29/08/2010 - 07:31h

Bem, para quem faz coleção de bugs e falhas do Windows, aqui vai mais uma figurinha.
Leiam a notícia e comprovem que certas falhas sempre estiveram presentes acompanhando os diversos sistemas operacionais daquela empresa.
Finalmente agora estão RECONHECENDO e corrigindo as deficiências.

http://www.publicainfo.com.br/invasao/invasao/microsoft-libera-patch-de-emergencia-para-falha-no-win...