Ondrej Sevecek's Blog

Teď je zrovna taková pastva bezpečnostních záplat, že mě napadlo podívat se, jestli jsem se tu pochlubil, že i já jsem objevil jednu díru. Už je to hoooodně dávno. Ale každá sebechvála se počítá :-) A navíc jsem třeba jediný čech, který kdy něco takového nahlásil???

Můj security bulletin je tady: Microsoft Security Bulletin Summary for April 2004 (CAN-2003-0806) - winlogon vulnerability

O co šlo? Jednoduše remote code execution přes buffer overflow v procesu winlogon. To je přihlašovací proces, který si od vás vyzvedne přihlašovací údaje a spustí vám userinit.exe a potažmo tedy průzkumníka Windows (windows explorer). No a oni si kopírovali jeden buffer, konkrétně obsah homeDrive attributu z Active Directory, u kterého počítali, že má jenom dva znaky. A on jich může mít libovolný počet. A přitom nekontrolovali délku toho bufferu. Takže cokoliv jste dali do toho atributu v Active Directory, přepsalo stack v jedné funkci v procesu winlogon.

Našel jsem to tak, že jsem blbě použil nějaké atributy a proměnné a padal mi winlogon, tak jsem to trošku disassembloval a našel tohle.

No nic kritického, ale security bulletin z toho byl :-)

Zajímavá je na tom ta zkušenost s domluvou na Microsoftu. Od prvního kontaktu to trvalo tak alespoň půl roku, než na to vydali opravu. Tak samozřejmě, chce to otestovat a nací mi na to ty potvory dali rating jenom moderate :-) A to bylo nepřetržite debilních dotazů od nějakého inda ve stylu "a už na to máte exploit?", "nechcete s tím náhodou vyjít ven dříve?", ale hlavně pořád chtěli popisovat jak to funguje a co je špatně. Asi desetkrát jsem jim to popisoval v podstatě znovu a dokolečka totéž. Prostě zdržovačka