系统安全公告

[zhllwarez]

以前的相关信息见：
http://expert.csdn.net/Expert/TopicView1.asp?id=2064786
==========================================================
更新 Red Hat pam_smb 文件包修复远程缓冲溢出漏洞 (Linux,补丁)
文章来源： 安络科技
涉及程序：
Red Hat pam_smb

描述：
更新 Red Hat pam_smb 文件包修复远程缓冲溢出漏洞


详细：
pam_smb是一中可插式认证模块，用于外部Server Message Block服务器用户验证。

在系统中pam_smb配置成验证远程访问服务，攻击者可以利用其中的漏洞远程执行任意代码。

受影响系统：
Red Hat Linux 7.2 - i386, ia64
Red Hat Linux 7.3 - i386
Red Hat Linux 8.0 - i386
Red Hat Linux 9 - i386


解决方案：
补丁下载：
Red Hat Linux 7.2:

SRPMS:
ftp://updates.redhat.com/7.2/en/os/SRPMS/pam_smb-1.1.6-9.7.src.rpm

i386:
ftp://updates.redhat.com/7.2/en/os/i386/pam_smb-1.1.6-9.7.i386.rpm

ia64:
ftp://updates.redhat.com/7.2/en/os/ia64/pam_smb-1.1.6-9.7.ia64.rpm

Red Hat Linux 7.3:

SRPMS:
ftp://updates.redhat.com/7.3/en/os/SRPMS/pam_smb-1.1.6-9.7.src.rpm

i386:
ftp://updates.redhat.com/7.3/en/os/i386/pam_smb-1.1.6-9.7.i386.rpm

Red Hat Linux 8.0:

SRPMS:
ftp://updates.redhat.com/8.0/en/os/SRPMS/pam_smb-1.1.6-9.8.src.rpm

i386:
ftp://updates.redhat.com/8.0/en/os/i386/pam_smb-1.1.6-9.8.i386.rpm

Red Hat Linux 9:

SRPMS:
ftp://updates.redhat.com/9/en/os/SRPMS/pam_smb-1.1.6-9.9.src.rpm

i386:
ftp://updates.redhat.com/9/en/os/i386/pam_smb-1.1.6-9.9.i386.rpm

附加信息：
CAN-2003-0686

发布时间：2003年8月28日
==============================================

Sun Linux VNC 文件包存在可本地或远程未授权访问漏洞 (SunOS,缺陷)
文章来源： 安络科技
涉及程序：
Sun Linux VNC

描述：
Sun Linux VNC 文件包存在可本地或远程未授权访问漏洞


详细：
VNC 是一种提供远程图形用户界面的工具。VNC DES 的验证配置执行存在漏洞，允许本地或远程未授权用户获得访问系统的权限。用于启动VNC 服务的脚本会产生cookie文件，该文件由不够强大的随机数生成。

受影响系统：
Sun Linux 5.0 (LX50) with VNC 3.3.3r2-18.4 版或之后的版本


解决方案：
补丁下载：
http://sunsolve.sun.com/patches/linux/security.html

附加信息：
CAN-2003-1511 CAN-2002-1336

发布时间：2003年8月28日

=========================

Red Hat 安全公告 (Linux,补丁)
文章来源： 安络科技
涉及程序：
Sendmail

描述：
更新Sendmail数据包修复处理DNS maps存在的漏洞


详细：
Sendmail是一种广泛使用的邮件传输代理程序(Mail Transport Agent)，Red Hat Linux所有发行版中都包含了该程序。

Sendmail 8.12.9之前版本的DNS maps处理部分存在安全漏洞。远程攻击者可在Sendmail处理服务请求时利用此漏洞使该程序崩溃。Red Hat Linux 8.0和9均受影响，但仅影响使用了DNS maps的"enhdnsbl"特性的系统。

受影响系统：
Red Hat Linux 8.0
Red Hat Linux 9


解决方案：
补丁下载：

Red Hat Linux 8.0

SRPMS:
sendmail-8.12.8-6.80.src.rpm

i386:
sendmail-8.12.8-6.80.i386.rpm

sendmail-cf-8.12.8-6.80.i386.rpm

sendmail-devel-8.12.8-6.80.i386.rpm

sendmail-doc-8.12.8-6.80.i386.rpm

Red Hat Linux 9

SRPMS:
sendmail-8.12.8-6.90.src.rpm

i386:
sendmail-8.12.8-6.90.i386.rpm

sendmail-cf-8.12.8-6.90.i386.rpm

sendmail-devel-8.12.8-6.90.i386.rpm

sendmail-doc-8.12.8-6.90.i386.rpm


附加信息：
CVEs (cve.mitre.org): CAN-2003-0688

发布时间：2003年8月29日

=========================================

已激活IPv6功能的Solaris 8 DoS漏洞攻击 (SunOS,缺陷)
文章来源： 安络科技
涉及程序：
Solaris 8

描述：
已激活IPv6功能的Solaris 8 会错误的处理某些信息包而导致DoS攻击


详细：
Solaris 8 系统配置成可使用Internet Protocol Version 6(ip6(7p)),在处理某些IPv6信息包时会出错。本地或远程用户可以发送特殊的IPv6信息包使系统混乱从而发起DoS攻击。


解决方案：
补丁下载：
Solaris 8 on SPARC Platform
Solaris 8 on x86 Platform

附加信息：
无

发布时间：2003年8月28日
======================================

FreeBSD存在DoS漏洞 (Other,缺陷)
文章来源： 安络科技
涉及程序：
FreeBSD

描述：
FreeBSD存在DoS漏洞


详细：
Oleg Bulyzhin 的报告证实FreeBSD存在DoS漏洞，所有Sendmail MTA 8.12.9之前的版本均受影响。由于一个错误的内部结构初始化，如果Sendmail收到错误的DNS回复(实际大小与设定大小不同)，将调用free()函数释放随机地址，从而造成Sendmail程序崩溃。

解决方案：
连网状态下，在命令行输入以下代码：
$ ftp ftp.openpkg.org
ftp> bin
ftp> cd release/1.2/UPD
ftp> get sendmail-8.12.7-1.2.3.src.rpm
ftp> bye
$ <prefix>/bin/rpm -v --checksig sendmail-8.12.7-1.2.3.src.rpm
$ <prefix>/bin/rpm --rebuild sendmail-8.12.7-1.2.3.src.rpm
$ su -
# <prefix>/bin/rpm -Fvh <prefix>/RPM/PKG/sendmail-8.12.7-1.2.3.*.rpm

附加信息：
无

发布时间：2003年8月29日

[sadforlove]

这次攻击大多都是根据TCP/IP的漏洞攻击的。在说什么系统也不是完全没有漏洞。

[care81619]

不是说LINUX很少有漏洞吗，怎么这次也被列在攻击范围内了呢？？？

[zhllwarez]

微软安全公告 MS03-034 (MS,补丁)
文章来源： 安络科技
涉及程序：
NetBIOS

描述：
NetBIOS 存在信息泄露缺陷 (824105)

详细：
NetBIOS(Network Basic Input Output System，网络基本输入输出系统)，是Windows操作系统的一种应用程序接口(API)，作用是为局域网(LAN)添加特殊功能，几乎所有的局域网电脑都是在NetBIOS基础上工作的。NetBT 服务，也就是NBNS，NetBIOS的Name Service。NBNS用于将IP地址转换为NetBIOS名。

NetBT 服务被发现存在信息泄露缺陷：在一定的条件下，除典型的NetBT名称服务响应外，其响应数据包中将会带有被攻击者系统内存的随机数据。这些随机数据通常是目标系统在响应攻击者请求时内存中的数据，如果目标用户正在浏览网页，将可能是用户的部分浏览内容。

攻击者能够通过向目标系统发送NetBT名称服务请求，再分析返回的响应数据包是否含有目标系统内存的随机数据来查看是否存在此安全缺陷。

如果目标系统被防火墙阻断了137 UDP 端口，则基于此缺陷的远程攻击是不可能实现的。

缓解因素：
====================
- 任何信息泄露都只是随即数据，攻击者不可能获得指定的数据。
- 缺省情况下，Windows XP 和Windows Server 2003内建的ICF (Internet Connection Firewall)防火墙已经将NetBT使用的端口阻断了。
- 要想攻击成功，攻击者必须发送精心构建的NetBT 请求到目标系统的137端口，然后再查看响应的数据包中是否含有系统内存随机数据。在企业内部网内，这些端口通常是开放的，但是连接到因特网时一般都被防火墙阻塞了，所以风险不大。

受影响系统：
====================
- Microsoft Windows NT 4.0 Server
- Microsoft Windows NT 4.0, Terminal Server Edition
- Microsoft Windows 2000
- Microsoft Windows XP
- Microsoft Windows Server 2003

风险等级：
============
- 低


攻击方法：
暂无有效攻击代码

解决方案：
立即下载并安装补丁程序：

Windows Server 2003
中文版 英文版

Windows Server 2003 64 bit Edition
英文版

Windows XP
中文版 英文版

Windows XP 64 bit Edition
英文版

Windows 2000
中文版 英文版

Windows NT 4 Server
中文版 英文版

Windows NT 4 Terminal Server Edition
英文版


注：补丁安装完成后需要重新启动

附加信息：
MS03-034

相关站点：
http://www.microsoft.com/technet/security/bulletin/MS03-034.asp

发布时间：2003年9月4日
****************************************************

微软安全公告 MS03-035 (MS,补丁)
文章来源： 安络科技
涉及程序：
Microsoft Word

描述：
Microsoft Word 存在安全缺陷允许宏命令自动运行 (827653)

详细：

宏（macro）是软件设计者为了让人们在使用软件进行工作时，避免一再地重复相同的动作而设计出来的一种工具，它利用简单的语法，把常用的动作写成宏，当在工作时，就可以直接利用事先编好的宏自动运行，去完成某项特定的任务，而不必再重复相同的动作。为了方便人们的使用，Word定义出一种文件格式，将文档，以及该文档所需要的宏合在一起放在后缀为．dot的文件之中，这种做法已经不同于以往的软件将资料和宏分开储存的方法。正因为这种是宏亦是资料的文档格式，便产生了宏感染的可能性。为此，微软在Word中设置了一种宏安全模式，根据用户选择的宏安全等级去确定是否应该执行宏。

Microsoft Word中存在一个安全缺陷，攻击者可绕过Word设置的宏安全模式构建恶意的Word文档，一旦用户打开文档，嵌入在文档中的恶意宏指令就会自动执行，并且没有任何告警。恶意宏指令能执行登陆用户被允许执行的任意操作，像添加、更改或删除数据或文件，甚至能够格式化被攻击者系统的硬盘。


受影响系统：
====================
- Microsoft Word 97
- Microsoft Word 98 (J)
- Microsoft Word 2000
- Microsoft Word 2002
- Microsoft Works Suite 2001
- Microsoft Works Suite 2002
- Microsoft Works Suite 2003

缓解因素：
====================
- 遭到攻击的用户必须打开恶意文档，攻击者不可能强迫用户去打开这个文档。

- 攻击者不可能通过e-mail自动进行攻击，用户必须打开邮件中的附件，攻击才可能成功。

- 缺省，Outlook 2002不允许恶意程序对地址薄进行访问。另外，如果Outlook 98已经进行了Outlook Email的安全升级，也不允许恶意程序对地址薄进行访问，所以攻击者不能利用此缺陷通过Email进行大规模的传播。

- 此安全缺陷仅仅影响Microsoft Word ，其它Office 应用程序不受此缺陷影响。

风险等级：
============
-重要


攻击方法：
暂无有效攻击代码

解决方案：
立即下载并安装补丁程序：

Microsoft Word 2002
中文版 英文版

Microsoft Word 2000
中文版 英文版

Microsoft Word 97/Microsoft Word 98(J)
http://support.microsoft.com/default.aspx?scid=kb;en-us;827647

注：补丁安装完成后不需要重新启动


附加信息：
MS03-035

相关站点：
http://www.microsoft.com/technet/security/bulletin/MS03-035.asp

发布时间：2003年9月4日

[NowCan]

所以现在很多Windows机器都打了补丁，安装了防火墙。
如果Linux想Windows这样普及，估计也会出现类似的“冲击波”。

[NowCan]

所以现在很多Windows机器都打了补丁，安装了防火墙。
如果Linux想Windows这样普及，估计也会出现类似的“冲击波”。

[smallrascal]

微软9月3日发布了一些安全警告，其中包括一个影响其许多版本Office应用程序的“严重的”安全漏洞的公告。

在“Visual Basic for Applications”(VBA)软件中的最严重的安全漏洞能够让攻击者控制存在这个漏洞的计算机。VBA是用来开发能够与微软其它产品一起使用的桌面应用程序的工具。

据微软的安全公告介绍，恶意用户能够使用VBA应用程序制作一个可以造成缓存溢出故障的文件，然后运行其它代码。

这个安全漏洞影响支持VBA脚本的最新版本的Office应用程序，包括2002、2000和97版本的Access、Excel、PowerPoint和Word。Project 2002和2000、Visio 2002和2000以及Works Suite 2002、2001、2000版本的软件也将受到影响。在微软商务解决方案品牌下销售的一些应用程序，包括7.5版Great Plains财会软件，也有风险。

在多数情况下，一个人接收并且打开一个恶意制作的文件就可能引起攻击。如果微软的Outlook电子邮件客户端软件把Word作为编辑HTML网页代码的缺省设置，这个安全漏洞就可以用来发送带恶意附件的信息。

微软公司代表敦促用户恰当地使用安全公告中详细说明的补丁，并且使用正确的处理电子邮件的方法。

与Office应用程序有关的其它安全公告还包括：最新版本的Word程序中的一个安全漏洞能够让攻击者自动运行一个宏命令。这个安全漏洞的等级是“重要”，Word 2002、2000、98或97、Works Suite 2003、2002或2001等软件用户需要立即使用补丁。

另一个安全漏洞是Office在转换WordPerfect软件制作的文件格式时可能会发生缓存溢出的问题。这个安全漏洞的等级是“重要”，存在于最新版本的Office、FrontPage、Publisher和Works Suite软件中。

还有一个与缓存溢出有关的Office安全漏洞，这个漏洞的等级是“中等”。最后一个是“低”等级的安全漏洞，存在于最近版本的Windows操作系统中的NetBIOS网络组件中。这个安全漏洞可能引起泄漏敏感数据。

[zenkio]

相比之下linux还是安全的多
这次的冲击波对windowns影响太大了

[zhllwarez]

微软安全公告 MS03-037 (MS,补丁)
文章来源： 安络科技
涉及程序：
Microsoft Visual Basic for Applications SDK

描述：
Microsoft VBA文档属性远程缓冲溢出缺陷(822715)

详细：
Microsoft VBA 是用于开发客户端桌面打包应用程序并将这些应用程序与现有数据和系统集成的开发技术。Microsoft VBA 基于 Microsoft Visual Basic 开发系统。Microsoft Office 产品包含 VBA 并使用 VBA 执行某些功能。另外，还可以使用 VBA 基于现有宿主应用程序创建自定义应用程序。

在 VBA 检查由宿主应用程序打开文档时传递给它的文档属性的过程中，存在一个缺陷。如果该缺陷被成功利用，将存在缓冲区溢出的情况，这可能会使攻击者可以在用户登录的上下文中执行他们选择的代码。

攻击者若要成功，用户必须打开攻击者发送的特制文档。该文档可以是支持 VBA 的任何类型的文档，如 Word 文档、Excel 电子表格、PowerPoint 演示文稿。当在 Microsoft Outlook 中使用 Microsoft Word 作为 HTML 电子邮件编辑器时，该文档可能为电子邮件；不过，用户将需要回复或转发该邮件才有可能使该漏洞被利用。

缓解因素：
·用户必须打开攻击者发送的文档才有可能使该漏洞被利用。
·当在 Outlook 中使用 Microsoft Word 作为 HTML 电子邮件编辑器时，用户将需要回复或转发攻击者发送的恶意电子邮件文档才有可能使该漏洞被利用。
·攻击者的代码只能以登录用户的权限运行。因此，攻击者通过该漏洞可能获取的特定权限将取决于授予用户的权限。对用户帐户的任何限制（如通过“组策略"应用的那些限制）也将会限制利用该漏洞执行任意代码的行为。

受影响系统：
Microsoft Visual Basic for Applications SDK 6.3
Microsoft Visual Basic for Applications SDK 6.2
Microsoft Visual Basic for Applications SDK 6.0
Microsoft Visual Basic for Applications SDK 5.0

解决方案：
运行如下应用程序的系统必须安装Microsoft VBA补丁：

Microsoft VBA 5.0
Microsoft VBA 6.0
Microsoft VBA 6.2
Microsoft VBA 6.3.
Microsoft Access 97
Microsoft Excel 97
Microsoft PowerPoint 97
Microsoft Word 97
Microsoft Word 98(J)
Microsoft Visio 2000
Microsoft Works Suite 2001
Microsoft Business Solutions Great Plains 7.5
Microsoft Business Solutions Dynamics 6.0
Microsoft Business Solutions Dynamics 7.0
Microsoft Business Solutions eEnterprise 6.0
Microsoft Business Solutions eEnterprise 7.0
Microsoft Business Solutions Solomon 4.5
Microsoft Business Solutions Solomon 5.0
Microsoft Business Solutions Solomon 5.5

Microsoft建议用户访问Office更新站点http://www.office.microsoft.com/ProductUpdates/default.aspx来检测和安装安全补丁。

附加信息：
CAN-2003-0347

发布时间：2003年9月8日
%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%

微软安全公告 MS03-038 (MS,补丁)
文章来源： 安络科技
涉及程序：
Microsoft Access Snapshot Viewer

描述：
Microsoft Access Snapshot Viewer 远程缓冲溢出缺陷

详细：
Microsoft Access Snapshot Viewer是Office 2000中的报表快照功能实现。允许没有安装Access即查看报表内容，如客户可以使用Access发送发票给客户。Snapshot Viewer包含在所有Access版本中，不过不是默认安装。Snapshot Viewer通过使用ActiveX控件实现。

Snapshot Viewer由于不正确验证部分参数，远程攻击者可以利用这个漏洞构建恶意页面，诱使用户访问，可触发缓冲区溢出。

由于没有对文件中部分参数缺少充分的缓冲区边界检查，攻击者可以诱使用户访问包含恶意数据的WEB页面，当Snapshot Viewer解析时发生溢出，精心构建页面数据可能以用户进程权限在系统上执行任意指令。

受影响系统：
Microsoft Access 97
Microsoft Access 2000
Microsoft Access 2002


解决方案：
立即下载并安装补丁：

Microsoft Access 2002：
英文版补丁下载 中文版补丁下载

http://microsoft.com/office/ork/xp/journ/snpv1001a.htm (administrative update only)


Microsoft Access 2000：
英文版补丁下载 中文版补丁下载

http://microsoft.com/office/ork/2000/journ/snpv0901.htm (administrative update only)


Microsoft Access 97：
安装升级的独立Snapshot Viewer控件：
下载

Stand-alone Snapshot Viewer Control: http://www.microsoft.com/AccessDev/Articles/snapshot.htm


附加信息：
CAN-2003-0665

发布时间：2003年9月8日
%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%


微软安全公告 MS03-036 (MS,补丁)
文章来源： 安络科技
涉及程序：
Microsoft WordPerfect

描述：
Microsoft WordPerfect 转换器远程缓冲溢出缺陷

详细：
Microsoft Office提供多个转换器允许用户导入和编辑原来不属于Office格式的文件。这些转换器是Office默认安装的一部分，也可以独立存在于Microsoft Office Converter Pack中，这些转换器可以方便的应用于Office早期版本和其他应用系统复杂的环境中，包括Macintosh和第三方应用程序。

Microsoft WordPerfect转换器打开文档时未能正确验证部分参数，远程攻击者可以利用这个漏洞构建恶意WordPerfect文档，诱使用户打开，可触发缓冲区溢出。

当解析WordPerfect文件时，WordPerfect转换器拷贝.doc文件中的数据存储在本地缓冲区中，如果修改.doc文件中的部分字节，就可以指定数据偏移和数据大小，WordPerfect转换器由于没有正确检查包含在.doc文件中的数据大小，拷贝文件中数据到本地缓冲区中时，可导致缓冲区溢出，精心构建恶意WordPerfect文件数据，诱使用户打开，可能以用户权限在系统上执行任意指令。

受影响系统：
Office 97、2000 和 XP
Word 98 (J)
FrontPage® 2000 和 2002
Publisher 2000 和 2002
Works Suite 2001、2002 和 2003

解决方案：
补丁下载：

Office XP, FrontPage 2002, Publisher 2002, Works 2002, and Works 2003:
英文版补丁下载 中文版补丁下载

Office 2000, FrontPage 2000, Publisher 2000, and Works 2001:
Microsoft Office 2000、Microsoft FrontPage 2000、Microsoft Publisher 2000、Microsoft Works 2001：
英文版补丁下载 中文版补丁下载

Office 97 and Word 98(J): 要了解怎样获取Word 97和Word 98(J)信息可参看如下Microsoft Knowledge Base article:
http://support.microsoft.com/default.aspx?scid=kb;en-us;827656

Microsoft建议用户访问Office更新站点http://www.office.microsoft.com/ProductUpdates/default.aspx来检测和安装安全补丁。


附加信息：
CAN-2003-0666


发布时间：2003年9月8日


%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%

ASP.Net 处理 XSS 保护存在缺陷 (MS,补丁)
文章来源： 安络科技
涉及程序：
ASP.Net

描述：
ASP.Net 处理 XSS 保护存在缺陷


详细：
为了让应用程序开发者写出安全的代码，Microsoft 给ASP.Net 1.1 framework 添加了新的特性，名为请求确认。通过自动检查所有请求参数和确认内容中不含 HTML 标签来保护免受跨站脚本和脚本注入攻击。

ASP.Net 请求确认特性存在执行缺陷，攻击者很容易绕过内容限制实施跨站脚本和脚本注入攻击。

研究表明该特性在于禁止所有参数内容中的<串。强制"<script>", "<img" 甚至 "<a>"都被禁止，但象"</script>" 之类的被允许。当服务器收到被禁止的参数内容就会向客户端发送错误消息。但是只需在少量标记和HTML标签第一个字符之间设置 NULL 字符，该过滤机制可被轻松绕过。由于这个符号不会被请求确认特性给验证，它将被忽略。在多数浏览器包括 IE 6.0 都会忽略输入的NULL，当浏览器把该串当作 HTML 标签解释的时候，就会留有跨站脚本攻击或脚本注入的危险。

受影响系统：
ASP.Net 1.1


攻击方法：
示例代码：
foo.bar/search.asp?term=3D<%00SCRIPT>alert('Vulnerable')</SCRIPT>

解决方案：
目前厂商未公布该缺陷补丁，请用户及时关注厂商站点:
www.microsoft.com

附加信息：
无

发布时间：2003年9月9日

[sungod8]

WINDOWS最新安全漏洞警报
微软安全公告MS03-039


注意：这个漏洞跟8月冲击波(MSBlaster) 和冲击波杀手(Nachi)所用的漏洞不同，补丁
KB823980对该漏洞无效

http://expert.csdn.net/Expert/topic/2276/2276489.xml?temp=.5582697

[sungod8]

日前，反病毒监测中心截获一例新木马病毒“狩猎者”。该病毒的特征非常类似于“爱情森林”,病毒激活后，会自动向QQ里的好友发消息,消息内容通常是某些网站的主页地址（URL）。用户点击QQ消息中的链接，进入相应网站，就可能中毒，成为该病毒“狩猎”的新目标。

　　据介绍，“狩猎者”病毒具有以下基本特征：首先，病毒会修改IE的默认主页为利用此病毒做宣传的网站；同时把木马程序植入系统目录下，并修改注册表中的启动项，使病毒获得开机时被加载的机会。如果系统中正在运行QQ，病毒会随机向QQ的好友发送网站的地址信息，为网站做广告宣传。而病毒程序就在这个网页上潜伏。这些病毒代码是利用漏洞进行传播的，当用户打开含有此病毒的网页时，病毒程序会自动下载到本地，并立即执行,中招机器又会成为病毒传播新的下线。

Trojan.WebAuto、Trojan.WebAuto.a专杀工具
http://www.duba.net/download/3/34.shtml