Távolról kikapcsolható bizonyos körülmények közt Windows XP tűzfala

Bug

Több cikk is felbukkant az elmúlt órákban az interneten arról, hogy bizonyos körülmények közt távolról kikapcsolható a teljesen naprakészre patch-elt Windows XP-k beépített tűzfal-megoldása. A művelet elvégzéséhez fellelhető az interneten exploit is, így nem nehéz kivitelezni a dolgot. Viszont a cikkek többnyire nem alaposak, így érdemes tisztázni, hogy mikor és milyen körülmények közt sebezhetők a Windows XP-k.

A networkworld.com cikke szerint azok a teljesen felpatch-elt Windows XP-k sebezhetők, amelyeken fut az Windows Internet Connection Service (ICS) szolgáltatása is (alapértelmezetten nincs bekapcsolva?). Ha támadó egy speciálisan formázott csomagot küld az ICS-t futtató Windows XP-nek, akkor a szolgáltatás lehal. Mivel az ICS kapcsolatban van a Windows XP beépített tűzfal-szolgáltatásával, magával rántja az is. A Windows Server 2003-ban található tűzfal a rendelkezésre álló infók szerint nem érintett a hibában.

Noha nem mindegyik cikk tér ki erre a részletre, de az explitot tanulmányozva úgy tűnik, hogy az ICS-t futtató gépet csak a belső hálózat felöl lehet ezzel a technikával támadni.

A hibáról bővebben itt és itt.

( siposa v | 2006. 10. 31., k – 13:00 )

Ha leállítom az ICS-t, kikapcsol a tűzfal is. Ha engedélyezem a tűzfalat a biztonsági központban, elindítja az ICS-t is. Szóval nem értem, hogy lehet default kikapcsolt.

Persze ha csak belső hálóról támadható, azért nem olyan nagy probléma...

"and, of course, it would only work on systems using ICS, which is disabled by default."

Én is utánanéztem direkt, mert én is úgy emlékeztem, hogy fut. Nekem futott. De mivel a linkelt cikk említette, ezért tettem oda kérdőjelet (nem voltam benne biztos, hogy korábban nem én indítottam el)

(Egyébként nem tartozik ide szorosan, de azt hiszem viszont, hogy Windows Server 2003-on alapból nem fut az ICS, mert ott rá is kérdez, hogy el akarod-e indítani. Lehet, hogy ezzel keverte a cikk írója).

"Persze ha csak belső hálóról támadható, azért nem olyan nagy probléma..."

Jah, ezért írtam a cikket, mert sok helyen ezt nem említik, csak azt, hogy lekapcsolható.

--
trey @ gépház

"Persze ha csak belső hálóról támadható, azért nem olyan nagy probléma..."

Ezzel azért nem teljesen értek egyet... Egy belső hálóba becsúsztatni egy botot azért nem olyan nehéz feladat, a többit pedig elvégzi a bot...

Persze, ha valaki csak a windows tűzfalát használja.... hát.... :)

De csak olyan gépen, aminek kifele internet kapcsolata van, és azt befele megosztja. Ebből azért kevebb van, mint simán tűzfalas gépből.

Abban igazad van, hogy bajnak minden bug baj, viszont ez azért jóval kisebb, mintha egy "mágikus" packet-tel kívülről le lehetne kapcsolni a tűzfalat.

--
trey @ gépház

Most végülis mit jelent az hogy belső hálóról egy mezei otthoni embernek? Hogy helyi IP tartományról lehet csak lefuttatni az exploitot vagy mi? Ez nekem most kicsit homály, mi lenne a különbség egy ADSL kapcsolatból szerzett IP felöl a hálózati csatlakozásra futtatni mint egy másik LAN-os gépről? Vagy hülyén látom a dolgokat?

( BaT | 2006. 10. 31., k – 15:11 )

A belső háló lehet virtuális is? Vagy csak fizika? Hamachira gondolok...

( Hunger | 2006. 10. 31., k – 20:47 )

Mivel az ICS kapcsolatban van a Windows XP beépített tűzfal-szolgáltatásával, magával rántja az is.

Gyakorlatilag egy service

( Nagyapa | 2006. 11. 01., sze – 08:47 )

Lám lám... újabb és újabb érdekességek derülnek ki.

Ám ettől még a "Windows sosem volt ilyen biztonságos..." Sőt! "Csúcs az adatvédelemben, a biztonságban és a biztonságosságban..."

Bocs, hogy nem tudtam szó szerint idézni a reklámszöveget amit 5éve kiír minden telepítésnél a windows. No, de van aki ezt jobban ismeri nálam hiszen a reinstalloknál is olvassa...