CERTA-2007-ALE-010
Vulnerability from certfr_alerte

Une vulnérabilité a été identifiée dans Microsoft DNS Server. Un débordement de tampon est possible via l'interface RPC (pour Remote Procedure Call). Cette vulnérabilité permet d'exécuter du code arbitraire à distance avec les droits de l'utilisateur local SYSTEM.

Description

Une vulnérabilité a été identifiée dans Microsoft DNS Server. Un débordement de tampon est possible via des appels RPC (pour Remote Procedure Call). Cette vulnérabilité permet d'exécuter du code arbitraire à distance avec les droits de l'utilisateur local SYSTEM.

Elle peut être exploitée via les ports RPC, de 1024 à 5000 (TCP ou UDP) ou, par un utilisateur authentifié, via les ports 445/TCP et 139/TCP.

Le trafic des serveurs DNS devrait être limité aux ports dédiés, i.e. 53 TCP/UDP. Cependant, dans de nombreux cas, les serveurs DNS Microsoft sont utilisés dans les réseaux locaux, et cumulent d'autres services (FTP, HTTP, etc.). Ils peuvent aussi être installés par défaut avec un Active Directory. Tout ceci contribue à rendre le filtrage de ces machines difficiles à maîtriser.

Des codes d'exploitation sont actuellement largement diffusés sur l'Internet. Cette vulnérabilité a été évoquée dans le bulletin d'actualité CERTA-2007-ACT-015.

L'avis CERTA-2007-AVI-209 sorti le 09 mai 2007 signale la publication de correctifs détaillés dans le bulletin de sécurité Microsoft MS07-029.

Contournement provisoire

Quelques contournements sont possibles pour limiter les risques :

  1. Modifier dans la clé de registre suivante

    HKLM\SYSTEM\CurrentControlSetService\Services\DNS\Parameters

    la valeur du paramètre RpcProtocol :

    • la valeur 4 permet d'interdire la gestion et la configuration distante du serveur DNS par RPC ou WMI. Cependant, cela est toujours possible localement, ou par un accès Terminal Serveur.
    • la valeur 0 désactive toute possibilité de gestion DNS par RPC (administration locale et configuration). Ce choix est donc fortement recommandé dans la mesure du possible.

  2. Vérifier la politique de filtrage vis-à-vis des serveurs DNS Microsoft, et notamment les règles qui concernent le trafic à destination des ports TCP ou UDP 445, 139 et de 1024 à 5000. Si ceux-ci ne sont pas nécessaires, ils doivent être bloqués.

  3. Utiliser des outils de surveillance périphériques à jour (renifleurs, ou sondes de détection d'intrusions), et analyser les journaux du serveur, afin de déterminer toute activité suspecte.

Solution

Se référer au bulletin de sécurité Microsoft MS07-029 pour l'application des correctifs (cf. Documentation).

None
Impacted products
Vendor Product Description
Microsoft Windows Microsoft Windows Server 2003 Service Pack 1 ;
Microsoft Windows Microsoft Windows Server 2003 Service Pack 2.
Microsoft Windows Microsoft Windows 2000 Service Pack 4 ;
References

Show details on source website

To clipboard 

{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [
    {
      "description": "Microsoft Windows Server 2003 Service Pack 1 ;",
      "product": {
        "name": "Windows",
        "vendor": {
          "name": "Microsoft",
          "scada": false
        }
      }
    },
    {
      "description": "Microsoft Windows Server 2003 Service Pack 2.",
      "product": {
        "name": "Windows",
        "vendor": {
          "name": "Microsoft",
          "scada": false
        }
      }
    },
    {
      "description": "Microsoft Windows 2000 Service Pack 4 ;",
      "product": {
        "name": "Windows",
        "vendor": {
          "name": "Microsoft",
          "scada": false
        }
      }
    }
  ],
  "affected_systems_content": null,
  "closed_at": "2007-05-09",
  "content": "## Description\n\nUne vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 identifi\u00e9e dans Microsoft DNS Server. Un\nd\u00e9bordement de tampon est possible via des appels RPC (pour Remote\nProcedure Call). Cette vuln\u00e9rabilit\u00e9 permet d\u0027ex\u00e9cuter du code\narbitraire \u00e0 distance avec les droits de l\u0027utilisateur local SYSTEM.\n\nElle peut \u00eatre exploit\u00e9e via les ports RPC, de 1024 \u00e0 5000 (TCP ou UDP)\nou, par un utilisateur authentifi\u00e9, via les ports 445/TCP et 139/TCP.\n\nLe trafic des serveurs DNS devrait \u00eatre limit\u00e9 aux ports d\u00e9di\u00e9s, i.e. 53\nTCP/UDP. Cependant, dans de nombreux cas, les serveurs DNS Microsoft\nsont utilis\u00e9s dans les r\u00e9seaux locaux, et cumulent d\u0027autres services\n(FTP, HTTP, etc.). Ils peuvent aussi \u00eatre install\u00e9s par d\u00e9faut avec un\nActive Directory. Tout ceci contribue \u00e0 rendre le filtrage de ces\nmachines difficiles \u00e0 ma\u00eetriser.\n\nDes codes d\u0027exploitation sont actuellement largement diffus\u00e9s sur\nl\u0027Internet. Cette vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 \u00e9voqu\u00e9e dans le bulletin\nd\u0027actualit\u00e9 CERTA-2007-ACT-015.\n\nL\u0027avis CERTA-2007-AVI-209 sorti le 09 mai 2007 signale la publication de\ncorrectifs d\u00e9taill\u00e9s dans le bulletin de s\u00e9curit\u00e9 Microsoft MS07-029.\n\n## Contournement provisoire\n\nQuelques contournements sont possibles pour limiter les risques :\n\n1.  Modifier dans la cl\u00e9 de registre suivante\n\n        HKLM\\SYSTEM\\CurrentControlSetService\\Services\\DNS\\Parameters\n\n    la valeur du param\u00e8tre RpcProtocol :\n\n    -   la valeur 4 permet d\u0027interdire la gestion et la configuration\n        distante du serveur DNS par RPC ou WMI. Cependant, cela est\n        toujours possible localement, ou par un acc\u00e8s Terminal Serveur.\n    -   la valeur 0 d\u00e9sactive toute possibilit\u00e9 de gestion DNS par RPC\n        (administration locale et configuration). Ce choix est donc\n        fortement recommand\u00e9 dans la mesure du possible.\n\n2.  V\u00e9rifier la politique de filtrage vis-\u00e0-vis des serveurs DNS\n    Microsoft, et notamment les r\u00e8gles qui concernent le trafic \u00e0\n    destination des ports TCP ou UDP 445, 139 et de 1024 \u00e0 5000. Si\n    ceux-ci ne sont pas n\u00e9cessaires, ils doivent \u00eatre bloqu\u00e9s.\n\n3.  Utiliser des outils de surveillance p\u00e9riph\u00e9riques \u00e0 jour\n    (renifleurs, ou sondes de d\u00e9tection d\u0027intrusions), et analyser les\n    journaux du serveur, afin de d\u00e9terminer toute activit\u00e9 suspecte.\n\n## Solution\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 Microsoft MS07-029 pour l\u0027application\ndes correctifs (cf. Documentation).\n",
  "cves": [
    {
      "name": "CVE-2007-1748",
      "url": "https://www.cve.org/CVERecord?id=CVE-2007-1748"
    }
  ],
  "initial_release_date": "2007-04-16T00:00:00",
  "last_revision_date": "2007-05-09T00:00:00",
  "links": [
    {
      "title": "Avis CERTA-2007-AVI-209 du 09 mai 2007 :",
      "url": "http://www.certa.ssi.gouv.fr/site/CERTA-2007-AVI-209/"
    },
    {
      "title": "Bulletin Microsoft MS07-029 du 08 mai 2007 :",
      "url": "http://www.microsoft.com/france/technet/security/bulletin/ms07-029.mspx"
    },
    {
      "title": "Alerte de s\u00e9curit\u00e9 de l\u0027US-CERT TA07-103A du 13 avril 2007    :",
      "url": "http://www.us-cert.gov/cas/techalerts/TA07-103A.html"
    },
    {
      "title": "Document du CERTA CERTA-2007-ACT-015 du 13 avril 2007 :",
      "url": "http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-015.pdf"
    },
    {
      "title": "Bulletin Microsoft MS07-029 du 08 mai 2007 :",
      "url": "http://www.microsoft.com/technet/security/bulletin/ms07-029.mspx"
    }
  ],
  "reference": "CERTA-2007-ALE-010",
  "revisions": [
    {
      "description": "version initiale.",
      "revision_date": "2007-04-16T00:00:00.000000"
    },
    {
      "description": "ajout de la surveillance du port 139/TCP et ajout de la r\u00e9f\u00e9rence au bulletin de s\u00e9curit\u00e9 de Microsoft.",
      "revision_date": "2007-04-20T00:00:00.000000"
    },
    {
      "description": "ajout des r\u00e9f\u00e9rences aux bulletins MS07-029 et CERTA-2007-AVI-209.",
      "revision_date": "2007-05-09T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Ex\u00e9cution de code arbitraire \u00e0 distance"
    }
  ],
  "summary": "Une vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 identifi\u00e9e dans Microsoft DNS Server. Un\nd\u00e9bordement de tampon est possible via l\u0027interface RPC (pour \u003cspan\nclass=\"textit\"\u003eRemote Procedure Call\u003c/span\u003e). Cette vuln\u00e9rabilit\u00e9 permet\nd\u0027ex\u00e9cuter du code arbitraire \u00e0 distance avec les droits de\nl\u0027utilisateur local SYSTEM.\n",
  "title": "Vuln\u00e9rabilit\u00e9 de Microsoft DNS Server",
  "vendor_advisories": [
    {
      "published_at": null,
      "title": "Avis de s\u00e9curit\u00e9 Microsoft 935964 du 12 avril 2007",
      "url": "http://www.microsoft.com/technet/security/advisory/935964.mspx"
    }
  ]
}


Log in or create an account to share your comment.




Tags
Taxonomy of the tags.




Sightings

Author Source Type Date

Nomenclature

  • Seen: The vulnerability was mentioned, discussed, or seen somewhere by the user.
  • Confirmed: The vulnerability is confirmed from an analyst perspective.
  • Published Proof of Concept: A public proof of concept is available for this vulnerability.
  • Exploited: This vulnerability was exploited and seen by the user reporting the sighting.
  • Patched: This vulnerability was successfully patched by the user reporting the sighting.
  • Not exploited: This vulnerability was not exploited or seen by the user reporting the sighting.
  • Not confirmed: The user expresses doubt about the veracity of the vulnerability.
  • Not patched: This vulnerability was not successfully patched by the user reporting the sighting.