[Meltdown]

...

Dieser Beitrag wurde von Meltdown84 bearbeitet: 19. Februar 2004 - 01:03

[BOSS]

ich denke auch das es ungepackt 40gb gemeint ist, weil jedes pack programm da was anderes raus bekommt!

Ein redakteur von Neowin hatte doch bestätigt das er 3GB hätte, wo sind die geblieben?

Dieser Beitrag wurde von BOSS bearbeitet: 14. Februar 2004 - 16:34

[Rika]

Nein, das stand nur im Forum, war ein Gerücht, und wurde fälschlicherweise für wahr empfunden. Es handelt sich um ein Fake im Eselnetz namens Windows_2000_source[Neowin.net].rar, was in Wirklichkeit nur Gentoo Linux ist. Es ist 1,09 Gb groß. Und jetzt rechne mal: Wenn 690 MB Code+einiges Kompiliertes auf 203 MB gezippt werden, wieviel wird dann aus 1.09GB beim Entpacken werden? Etwa 3GB.

[Meltdown]

Welchen Versionsstand hat dieser Quellcode-Leak überhaupt gehabt ?

Ich meine - zu NT 4.x und Windows 2000 sind ja einige ServicePacks erschienen...

Dieser Beitrag wurde von Meltdown84 bearbeitet: 19. Februar 2004 - 00:56

[wiz]

Zitat (Meltdown84: 14.02.2004, 17:27)

Welchen Versionsstand hat dieser Quellcode-Leak überhaupt gehabt ?

Ich meine - zu NT 4.x und Windows 2000 sind ja einige ServicePacks erschienen...

windows 2000 SP1

[Rika]

Naja, in der Standardkonfiguration auf jeden Fall. Speziell der Code vom RPC-Subsystem ist ja mitgeleakt, daher wird man mit mehr Exploits im RPC-Dienst rechnen können. Aber wer DCOM nicht abschaltet, hätte sich auch sonst bestimmt noch was einfangen.

Ebenso muss man davon ausgehen, dass das NT-Rechtemanagement nun leichter umgangen werden kann. Eingeschränkte Benutzer sind nachwievor eine gute Idee, aber muss doch mehr auf Malware achten und sich nicht mehr so sehr auf die NT-Sicherheit verlassen.

Und weil auch der Code vom IE geleakt ist, empfiehlt sich nun erst recht ein Alternativbrowser.

Sonst aber wirst du mit keinen größeren Sicherheitsmängeln rechnen müssen.

[Meltdown]

Bleibt immer noch die Frage:

Was macht man jetzt eigentlich ?

Dieser Beitrag wurde von Meltdown84 bearbeitet: 19. Februar 2004 - 01:02

[Rika]

Auf meinem Familien-PC? Gar nix. Da ist eh Hopfen und Malz verloren...
Auf meinem Läppi... da bin ihc eh immer mit root drin. Möglicherweise shcädliche Software wird in einer Vm ausprobiert - daran wird sich so schnell nix ändern.

[Philipp]

Hier was aus der Full Disclosure Mailing list

Zitat

I downloaded the Microsoft source code.  Easy enough.  It's a lot bigger than Linux, but there were a lot of people mirroring it and so it didn't take long.

Anyway, I took a look, and decided that Microsoft is GAYER THAN AIDS.
For example, in win2k/private/inet/mshtml/src/site/download/imgbmp.cxx:

    // Before we read the bits, seek to the correct location in the file
    while (_bmfh.bfOffBits > (unsigned)cbRead)
    {
        BYTE abDummy[1024];
        int cbSkip;

        cbSkip = _bmfh.bfOffBits - cbRead;
       
        if (cbSkip > 1024)
            cbSkip = 1024;

        if (!Read(abDummy, cbSkip))
            goto Cleanup;
           
        cbRead += cbSkip;
    }

.. Rrrrriiiiggghhhttt.  Way to go, using a signed integer for an offset.  Now all we have to do is create a BMP with bfOffBits > 2^31,

and we're in. cbSkip goes negative and the Read call clobbers the stack with our data.

See attached for proof of concept.  index.html has [img src=1.bmp] where 1.bmp contains bfOffBits=0xEEEEEEEE plus 4k of 0x44332211.
Bring it up in IE5 (tested successfully on Win98) and get EIP=0x44332211.

IE6 is not vulnerable, so I guess I'll get back to work.  My Warhol worm will have to wait a bit...

.gta
PROPS TO the Fort and HAVE IT BE YOU.

und die dateien sind im anhang

Angehängte Datei(en)

•  index.html (101bytes)
  Anzahl der Downloads: 140

[Philipp]

2. Datei

Angehängte Datei(en)

•  bmp.zip (1,03K)
  Anzahl der Downloads: 108

[Rika]

Jaja, IE ist doch was feines

[Meltdown]

Zitat (shelby: 15.02.2004, 19:13)

Desweiteren sind Exploits aufgetaucht, die die Sicherheitslücke in der ASN.1 Bibliothek ausnutzen. Wer den Patch KB 828028 nicht installiert hat, sollte es jetzt tun.

Geht das jetzt schon los ?

Ich hoffe ich erfahr das in Zukunft wenigstens noch früh genug.
Sonst habe ich wohl ein Problem...

Dieser Beitrag wurde von Meltdown84 bearbeitet: 19. Februar 2004 - 00:58