|
Microsoft
Security Bulletin MS05-051
Vulnerabilities in MSDTC and COM+ Could Allow Remote Code Execution
(902400)
วันที่ประกาศ : 12 ตุลาคม 2548
เวอร์ชัน : 1.0
เรียบเรียงโดย : ศิริวรรณ
อภิสิริเดช
คำอธิบายโดยสังเขป
ไมโครซอฟท์ได้ประกาศแจ้งเตือนช่องโหว่ที่เกิดขึ้นใน
MSDTC และ COM+ ซึ่งช่องโหว่เหล่านี้อาจเป็นผลให้ผู้บุกรุกสามารถสั่งรันโปรแกรมได้จากระยะไกลเข้ามาได้
ข้อมูลโดยย่อของช่องโหว่มีดังนี้
MSDTC Vulnerability - CAN-2005-2119:
ช่องโหว่นี้เกิดจากหน่วยความจำใน Microsoft Distributed
Transaction Coordinator (MSDTC) ไม่ได้รับการตรวจสอบข้อมูลอินพุธที่รับเข้ามาก่อนนำไปใช้งาน
Microsoft Distributed Transaction Coordinator (MSDTC)
คือส่วนประกอบที่ช่วยในการติดต่อสื่อสารสำหรับระบบปฏิบัติการไมโครซอฟต์วินโดวส์
MSDTC ใช้เทคโนโลยี transaction processing ซึ่งมีความทนทาน สามารถทำงานได้แม้ว่า
ระบบ โพรเซส หรือการสื่อสารจะล่มก็ตาม
สำหรับระบบ Windows 2000 ผู้ใช้ใดๆ (anonymous user)
ซึ่งสามารถส่งข้อมูลที่สร้างขึ้นผ่านทางเครือข่ายเข้าไปในระบบได้จะสามารถโจมตีช่องโหว่นี้ได้
ส่วนบนระบบ Windows XP Service Pack 1 และ Windows Server 2003 ผู้บุกรุกจะสามารถล็อกออนเข้าสู่ระบบโดยตรงและรันโปรแกรมเพื่อโจมตีช่องโหว่นี้บนระบบได้เลย
แต่ Windows XP Service Pack 1 และ Windows Server 2003 ไม่มีช่องโหว่ที่จะถูกโจมตีจากระยะไกลได้
ยกเว้นมีการตั้งค่าผู้ใช้ในระบบที่ไม่รัดกุมซึ่งอาจถูกโจมตีจากระยะไกลได้
บนระบบ Windows Server 2003 หากผู้ดูแลระบบเปิดใช้งาน Network DTC
Access จะทำให้ระบบมีช่องโหว่ให้ผู้ใช้ใดๆ สามารถโจมตีจากระยะไกลและรันโปรแกรมเพื่อควบคุมระบบทั้งหมดได้
หากผู้ใช้งานเครื่องคอมพิวเตอร์ที่ยังไม่ได้ทำการอุดช่องโหว่นี้ล็อกอินภายใต้สิทธิของผู้ดูแลระบบ
ในกรณีที่รุนแรงที่สุดของช่องโหว่เหล่านี้ ผู้บุกรุกก็จะสามารถควบคุมเครื่องไว้ได้ทั้งหมด
ซึ่งรวมถึงการติดตั้งโปรแกรมเพิ่มเติมเข้าไป การเรียกดู เปลี่ยนแปลง
หรือแม้แต่ลบข้อมูลที่อยู่ในเครื่องนั้นทิ้งไป รวมทั้งการเพิ่มผู้ใช้รายใหม่ที่มีระดับสิทธิสูงๆ
เข้าไปในบัญชีผู้ใช้ หากไม่ได้ล็อกอินภายใต้สิทธิดังกล่าว ความเสี่ยงต่อความเสียหายหรือผลกระทบที่อาจเกิดขึ้นก็จะลดความรุนแรงลงไป
COM+ Vulnerability - CAN-2005-1978:
ช่องโหว่นี้เกิดขึ้นใน COM+ โดยมีสาเหตุจากโพรเซสที่
COM+ ใช้ในการสร้างและใช้งาน memory structures
COM+ มีวิวัฒนาการมาจาก Microsoft Component Object
Model และ Microsoft Transaction Server (MTS) โดย COM+ ทำหน้าที่ในการจัดการรีซอร์ส
(resource management) ในระบบ เช่น การจัดสรรพื้นที่ และสร้างความปลอดภัยให้เทรด
(thread) และช่วยให้แอพพลิเคชันทำงานได้ดีขึ้นโดยการจัดให้มี thread
pooling, object pooling, และ just-in-time object activation นอกจากนี้
COM+ ยังช่วยปกป้องความสมบูรณ์ให้แก่ข้อมูลด้วย
ในระบบ Windows 2000 และ Windows XP Service Pack
1 ผู้บุกรุกสามารถโจมตีช่องโหว่โดยการสร้างข้อความเฉพาะส่งไปยังเครื่องที่มีช่องโหว่ดังกล่าว
ทำให้ผู้บุกรุกสามารถรันโค้ดได้ ส่วนในระบบ Windows XP Service Pack
2, Windows Server 2003 และ Windows Server 2003 Service Pack 1 ผู้โจมตีต้องล็อกออนเข้าระบบโดยตรงเพื่อโจมตีช่องโหว่และรันแอพพลิเคชันที่สร้างขึ้นเฉพาะเพื่อให้ได้สิทธิผู้ดูแลระบบเข้าสู่ระบบ
หากผู้ใช้งานเครื่องคอมพิวเตอร์ที่ยังไม่ได้ทำการอุดช่องโหว่นี้ล็อกอินภายใต้สิทธิของผู้ดูแลระบบ
ในกรณีที่รุนแรงที่สุดของช่องโหว่เหล่านี้ ผู้บุกรุกก็จะสามารถควบคุมเครื่องไว้ได้ทั้งหมด
ซึ่งรวมถึงการติดตั้งโปรแกรมเพิ่มเติมเข้าไป การเรียกดู เปลี่ยนแปลง
หรือแม้แต่ลบข้อมูลที่อยู่ในเครื่องนั้นทิ้งไป รวมทั้งการเพิ่มผู้ใช้รายใหม่ที่มีระดับสิทธิสูงๆ
เข้าไปในบัญชีผู้ใช้ หากไม่ได้ล็อกอินภายใต้สิทธิดังกล่าว ความเสี่ยงต่อความเสียหายหรือผลกระทบที่อาจเกิดขึ้นก็จะลดความรุนแรงลงไป
TIP Vulnerability - CAN-2005-1979:
ช่องโหว่นี้เกิดขึ้นใน Transaction Internet Protocol
(TIP) โดยมีสาเหตุมาจากโพรเซสที่ Distributed Transaction Coordinator
(DTC) ใช้ในการตรวจสอบ TIP requests
MSDTC สนับสนุน Transaction Internet Protocol (TIP)
การสื่อสารโดยใช้โพรโตคอล TIP จะมีลักษณะเป็น two-pipe architecture
คือ ข้อความที่เกี่ยวกับขั้นตอนการทำงานจะอยู่ในท่อหนึ่ง ชื่อ application-to-application
pipe ส่วนข้อความที่ควบคุมขั้นตอนการติดต่อสื่อสารจะอยู่ในอีกท่อหนึ่งชื่อ
transaction manager-to-transaction manager pipe ตัว MSDTC จะเรียกใช้
TIP เมื่อแอพพลิเคชันโปรแกรมหรือ resource manager มีการใช้ TIP COM
interfaces
เมื่อในระบบใดๆ มีการเปิดใช้งานโพรโตคอล TIP ผู้ใช้ใดๆ
สามารถสร้างข้อความเฉพาะและส่งไปยังระบบที่มีช่องโหว่นี้ จะมีผลทำให้
Distributed Transaction Coordinator (DTC) หยุดการทำงาน ซึ่งการโจมตีรูปแบบนี้ถือเป็นการโจมตีแบบ
Denial of Service รูปแบบหนึ่ง
Distributed TIP Vulnerability - CAN-2005-1980:
ช่องโหว่นี้เกิดขึ้นคล้ายกับช่องโหว่ TIP Vulnerability
แต่ต่างกันที่ในช่องโหว่ Distributed TIP Vulnerability นั้น ผู้บุกรุกสามารถสร้างข้อความเฉพาะส่งไปยังเครื่องเซิร์ฟเวอร์ที่เปิดใช้
TIP และมีผลทำให้ MSDTC บนเครื่องนั้นหยุดทำงาน นอกจากนี้ข้อความเฉพาะนี้ยังสามารถแพร่กระจายไปสู่เครื่องเซิร์ฟเวอร์ที่เปิดใช้
TIP เครื่องอื่นๆ ได้อีกด้วย
ผลกระทบของช่องโหว่นี้
- การโจมตีผ่านทาง MSDTC Vulnerability และ COM+
Vulnerability ส่งผลให้ผู้บุกรุกสามารถสั่งรันโปรแกรมได้จากระยะไกล
และได้รับสิทธิ์ในการเข้าควบคุมระบบได้ทั้งหมด
- การโจมตีผ่านทาง TIP Vulnerability และ Distributed
TIP Vulnerability ส่งผลให้เกิด Denial of Service แต่การโจมตีรูปแบบนี้ผู้บุกรุกจะไม่สามารถสั่งรันโปรแกรมหรือได้รับสิทธิ์ในการควบคุมระบบ
ระดับความรุนแรง
สูงสุด (Critical)
ซอฟต์แวร์ที่ได้รับผลกระทบ
ซอฟต์แวร์ที่ไม่ได้รับผลกระทบ
- Microsoft Windows 98, Microsoft Windows 98 Second
Edition (SE), and Microsoft Windows Millennium Edition (ME)
วิธีแก้ไขปัญหา
ให้ติดตั้งโปรแกรมอุดช่องโหว่ตามข้อมูลด้านบน
|
