8.1 CVE-2017-0144

Exploit Privilege Escalation RCE Injection SQL Buffer Overflow RCI XSS Patch Used by Malware Used by Ransomware CISA Kev Catalog Used by Malware

  

Il server SMBv1 in Microsoft Windows Vista SP2; Windows Server 2008 SP2 e R2 SP1; Windows 7 SP1; Windows 8.1; Windows Server 2012 Gold e R2; Windows RT 8.1; e Windows 10 Gold, 1511 e 1607; e Windows Server 2016 consente agli aggressori remoti di eseguire codice arbitrario tramite pacchetti predisposti, alias "Vulnerabilità di esecuzione di codice remoto di Windows SMB". Questa vulnerabilità è diversa da quelle descritte in CVE-2017-0143, CVE-2017-0145, CVE-2017-0146 e CVE-2017-0148.
https://nvd.nist.gov/vuln/detail/CVE-2017-0144

Categorie

CWE-20 : Convalida dell'input improprio
Il prodotto riceve input o dati, ma non convalida o convalida in modo errato che l'input abbia le proprietà necessarie per elaborare i dati in modo sicuro e corretto. Quando è richiesta una convalida personalizzata dell'input, come nel caso dell'applicazione di regole aziendali, è necessaria un'analisi manuale per garantire che la convalida sia implementata correttamente. Le tecniche di fuzzing possono essere utili per rilevare gli errori di convalida degli input. Quando al software vengono forniti input inattesi, il software non deve bloccarsi o diventare altrimenti instabile e deve generare messaggi di errore controllati dall'applicazione. Se si verificano eccezioni o messaggi di errore generati dall'interprete, ciò indica che l'input non è stato rilevato e gestito all'interno della logica dell'applicazione stessa. Considerare l'utilizzo di tecniche di sicurezza linguistico-teoriche (LangSec) che caratterizzano gli input utilizzando un linguaggio formale e costruiscono "riconoscitori" per tale linguaggio. Ciò richiede che il parsing sia un livello distinto che imponga un confine tra l'input grezzo e le rappresentazioni interne dei dati, invece di permettere che il codice del parser sia disperso nel programma, dove potrebbe essere soggetto a errori o incoerenze che creano punti deboli. [REF-1109] [REF-1110] [REF-1111] Utilizzare un framework per la validazione dell'input, come Struts o l'API di validazione OWASP ESAPI. Si noti che l'uso di un framework non risolve automaticamente tutti i problemi di convalida dell'input; occorre tenere presente le debolezze che potrebbero derivare da un uso improprio del framework stesso (CWE-1173). Comprendete tutte le potenziali aree in cui input non attendibili possono entrare nel vostro software: parametri o argomenti, cookie, qualsiasi cosa letta dalla rete, variabili d'ambiente, ricerche DNS inverse, risultati di query, intestazioni di richieste, componenti di URL, e-mail, file, nomi di file, database e qualsiasi sistema esterno che fornisca dati all'applicazione. Ricordate che tali input possono essere ottenuti indirettamente tramite chiamate API. Quando l'applicazione combina dati provenienti da più fonti, eseguire la convalida dopo che le fonti sono state combinate. I singoli elementi dei dati possono superare la fase di convalida ma violare le restrizioni previste dopo la combinazione. Fare particolare attenzione a convalidare tutti gli input quando si invoca codice che attraversa i confini linguistici, ad esempio da un linguaggio interpretato a un codice nativo. Questo potrebbe creare un'interazione inaspettata tra i confini del linguaggio. Assicuratevi di non violare le aspettative del linguaggio con cui vi state interfacciando. Ad esempio, anche se Java potrebbe non essere soggetto a buffer overflow, fornire un argomento di grandi dimensioni in una chiamata al codice nativo potrebbe innescare un overflow. Convertire direttamente il tipo di input nel tipo di dati previsto, ad esempio utilizzando una funzione di conversione che traduce una stringa in un numero. Dopo la conversione nel tipo di dati previsto, assicurarsi che i valori dell'input rientrino nell'intervallo previsto di valori consentiti e che vengano mantenute le coerenze tra più campi. Quando si scambiano dati tra componenti, assicurarsi che entrambi i componenti utilizzino la stessa codifica dei caratteri. Assicurarsi che la codifica corretta sia applicata a ogni interfaccia. Impostare esplicitamente la codifica in uso ogni volta che il protocollo lo consente. Catena: la convalida impropria dell'input (CWE-20) porta all'overflow del numero intero (CWE-190) nei sistemi operativi mobili, come sfruttato in natura da CISA KEV. Catena: la convalida impropria dell'input (CWE-20) porta a un overflow di numeri interi (CWE-190) nei sistemi operativi mobili, come sfruttato in natura per CISA KEV. Catena: il backslash seguito da una newline può aggirare un passaggio di convalida (CWE-20), portando all'iniezione di eval (CWE-95), come sfruttato in natura per CISA KEV. Catena: la convalida insufficiente dell'input (CWE-20) nel browser consente la corruzione dell'heap (CWE-787), come sfruttato in natura per CISA KEV. Catena: convalida impropria dell'input (CWE-20) nel parametro del nome utente, che porta all'iniezione di comandi del sistema operativo (CWE-78), come sfruttato in natura per CISA KEV. Catena: il prodotto di sicurezza presenta una convalida di input non corretta (CWE-20) che porta all'attraversamento di directory (CWE-22), come sfruttato in natura per CISA KEV. Convalida impropria dell'input delle richieste HTTP nel telefono IP, come sfruttato in natura per CISA KEV. Catena: la convalida impropria dell'input (CWE-20) nel prodotto firewall porta a XSS (CWE-79), come sfruttato in natura per CISA KEV. Catena: il server proxy di caching presenta una convalida impropria dell'input (CWE-20) delle intestazioni, consentendo il contrabbando di risposte HTTP (CWE-444) tramite un'iniezione di valori ´LF line ending´ nel programma Perl utilizzando un ID che dovrebbe contenere solo trattini e numeri. Iniezione SQL attraverso un ID che doveva essere numerico. La mancanza di convalida dell'input nel programma di foglio elettronico porta a buffer overflow, integer overflow, errori di indice di array e corruzione della memoria. la convalida insufficiente abilita il driver XSS nel prodotto di sicurezza consente l'esecuzione di codice a causa della convalida insufficiente loop infinito da un pacchetto DNS con un'etichetta che punta a se stesso loop infinito da un pacchetto DNS con un'etichetta che punta a se stesso parametro mancante porta all'arresto anomalo richiesta HTTP con numero di versione del protocollo mancante porta all'arresto anomalo richiesta con parametri mancanti porta all'esposizione di informazioni arresto del sistema con valore di offset non coerente con la dimensione del pacchetto campo non coerente con la dimensione del pacchetto porta alla lettura eccessiva del buffer il prodotto utilizza una denylist per identificare il contenuto potenzialmente pericoloso, consente all'aggressore di bypassare un avviso di sicurezza tramite un'intestazione aggiuntiva il pacchetto vuoto innesca il riavvio di una denylist incompleta consente l'iniezione di SQL Il byte NUL nel nome del tema peggiora l'impatto dell'attraversamento delle directory Il kernel non convalida un puntatore in entrata prima di dereferenziarlo Il prodotto antivirus ha una convalida di input insufficiente delle funzioni SSDT agganciate il prodotto anti-virus consente DoS tramite campi di lunghezza zero il driver non convalida l'input dall'area utente al kernel il kernel non convalida i parametri inviati dall'area utente, consente l'esecuzione di codice la mancata convalida dei campi di lunghezza delle stringhe consente il consumo di memoria o la lettura eccessiva del buffer la mancata convalida del campo di lunghezza porta a un ciclo infinito la mancata convalida dell'input a una IOCTL consente l'esecuzione di codice l'allegato di lunghezza zero causa un crash l'input di lunghezza zero causa il blocco del puntatore non inizializzato tramite una struttura di frame malformata ciclo infinito da una richiesta SMTP lunga il router si blocca con un pacchetto malformato il pacchetto con numero di versione non valido porta alla dereferenziazione del puntatore NULL il crash tramite caratteri multipli ".caratteri "" nell'estensione del file

Riferimenti

CPE

RIMEDIO

Microsoft

EXPLOITS

Exploit-db.com

Altro (github, ...)

CAPEC

Common Attack Pattern Enumerations and Classifications

MITRE

Tecniche

Mitigazioni

Sherlock® flash

Fotografate la vostra rete di computer in pochi clic !

La soluzione di audit Sherlock® flash consente di eseguire un audit per rafforzare la sicurezza delle risorse IT. Scansione delle vulnerabilità delle apparecchiature fisiche e virtuali. Pianificazione delle patch in base al livello di priorità e al tempo disponibile. Reporting dettagliato e intuitivo.

Scopri questa offerta