RNP > Serviços > Segurança em redes > Alertas do CAIS

Vulnerabilidade no cursor animado do Windows

Microsoft Security Advisory 935423

[CAIS, 02.04.2007-11:38, revisão 01]

O CAIS está repassando o alerta da Microsoft, intitulado "Microsoft Security Advisory (935423) - Vulnerability in Windows Animated Cursor Handling", que trata de uma vulnerabilidade identificada no cursor animado do Windows e que está no momento sendo explorada ativamente e ainda sem correção disponível.

A vulnerabilidade é decorrente de uma falha na validação anterior a geração de cursores, cursores animados e ícones. Arquivos que definem cursores animados tem a extensão .ANI.

Um atacante pode explorar esta vulnerabilidade induzindo um usuário a acessar uma página web especialmente criada, através do envio de um e-mail que induz o usuário a acessar um página web ou mesmo enviando um arquivo anexado com o código malicioso. O ataque, se realizado com sucesso, permitiria ao atacante o controle total sobre o sistema.

Já existe código malicioso disponível na Internet capaz de explorar estas vulnerabilidades e que está sendo utilizado em ataques. Assim, o CAIS recomenda fortemente que as medidas paliativas indicadas na seção "Correções Disponíveis" sejam adotadas.

É prevista a divulgação de uma correção oficial da Microsoft em 03 de Abril de 2007.


Sistemas afetados

• Microsoft Windows 2000 Service Pack 4
• Microsoft Windows XP Service Pack 2
• Microsoft Windows XP 64-Bit Edition Version 2003 (Itanium)
• Microsoft Windows XP Professional x64 Edition
• Microsoft Windows Server 2003
• Microsoft Windows Server 2003 para sistemas baseados em Itanium
• Microsoft Windows Server 2003 Service Pack 1
• Microsoft Windows Server 2003 Service Pack 2
• Microsoft Windows Server 2003 com SP1 para sistemas baseados em Itanium
• Microsoft Windows Server 2003 com SP2 para sistemas baseados em Itanium
• Microsoft Windows Server 2003 x64 Edition
• Microsoft Windows Server 2003 x64 Edition Service Pack 2
• Microsoft Windows Vista

• Recomenda-se a leitura de e-mails em formato texto puro (plain text) somente para o Outlook 2002 e versões mais novas. Esta medida não impede o ataque se utilizado o Outlook Express. De acordo com o alerta da Microsoft estações Windows Vista com Internet Explorer 7 não são vulneráveis no momento.
   
• Aplique filtros contra as extensões .ani, .cur e .ico, além de filtrar arquivos que passem a utilizar outra extensão mas são reconhecidos pelo Windows como arquivos .ani - estes arquivos são iniciados pela seqüência RIFF (hex 52 49 46 46).
   
• Desabilite a opção de pré-visualização (preview) de e-mails. Com isso as mensagens não serão renderizadas e pode-se limitar a exploração.
   
  
• Configure o Windows Explorer para usar a configuração clássica de pastas (Classic Folders).
   
  
• Existe uma correção não oficial que foi desenvolvida pelo ZERT - Zeroday Emergency Response Team. Se aplicada, a correção deve ser removida quando a Microsoft liberar uma correção oficial. O CAIS não se responsabiliza pela aplicação desta correção não-oficial.
  
  ZERT2007-01 - Stack buffer overflow in ANI Handling under Microsoft Windows 0Day
  
  
• Já está disponível uma regra do Snort que identifica ataques que exploram esta vulnerabilidade:
  
  Bleeding Edge Threats - MS ANI Exploit Rule
  

• Microsoft Security Advisory (935423) - Vulnerability in Windows Animated Cursor Handling
• US-CERT Vulnerability Note VU#191609 - Microsoft Windows animated cursor ANI header stack buffer overflow
• ZERT2007-01 - Stack buffer overflow in ANI Handling under Microsoft Windows 0Day
• Microsoft Brasil Security
• Technet Brasil - Central de Seguranca
• Windows Live OneCare

Contato com o Cais:

+55 (19) 3787-3300
+55 (19) 3787-3301

cais@cais.rnp.br

Chave PGP pública do Cais