מיקרוסופט: חמש פרצות חדשות
מיקרוסופט פרסמה אמש חמישה טלאי תוכנה לפרצות אבטחה במערכות הפעלה שונות
מאת: מערכת חיים ברשת 11:42 15/12/2004
מקור: "חיים ברשת"-נענע



ענקית התוכנה מיקרוסופט שיחררה חמישה טלאי תוכנה חדשים לפרצות אבטחה שונות אשר הותירו את משתמשי מערכת ההפעלה חלונות תחת סכנת תקיפה חיצונית. הפרצות, ששוחררו כחלק מעדכון האבטחה החודשי של החברה, הוגדרו כחשובות אך לא קריטיות. דווח של אתר PCworld.

הפרצות שבהן מדובר נוגעות הן למערכות דסקטופ והן לשרתים של מספר גרסאות של חלונות המבוססות על טכנולוגיית NT (בהן גם חלונות 2000 וחלונות XP). הפרצות הוגדרו כ"חשובות", דהיינו פרצות המאפשרות פגיעה במחשב אך ורק לאחר ביצוע פעולה מצד המשתמש.

הפרצה הראשונה נוגעת למעבד התמלילים WordPad והיא מאפשרת לתוקף חיצוני גישה לשליטה מלאה על מערכות המחשב. כדי לנצל פרצה זו צריך האקר לפתות את המשתמש לפתוח אתר או מייל המכילים קטע קוד המאפשר את ההשתלטות.

פרצה אחרת שפורסמה קשורה ל-HyperTerminl. הצפת באפר באפליקציית התקשורת של חלונות עשויה לאפשר לתוקף חיצוני להשתלט על המחשב הקורבן. כמו במקרה הקודם, גם מתקפה כזו דורשת פתיחת קובץ רושעה ע"י המשתמש לשם הדבקת המחשב.

פרצות נוספות (הנוגעות ל-NT Server 4 בלבד) מאפשרות ביצוע מתקפת שירות DDoS והרצת קוד ממקור חיצוני. פרצה נוספת מאפשרת שליטה חיצונית על המחשב במערכות השרתים NT server 4, windows 2000 server ו-windows server 2003.

ולסיום הזהירה מיקרוסופט על פרצה בליבת חלונות ובשירות האבטחה המקומי של חלונות. שתיהן נוגעות לסוגיית הרשאות ומאפשרות לתוקף, שכבר מחובר למערכת, להעצים את זכויות השימוש שלו במערכת ולקבל אליה גישה מלאה.

מקור: "חיים ברשת"-נענע

עדכנו כעת:http://windowsupdate.microsoft.com

לאחרונה שמתי לב שכל פריצות האבטחה שמיקרוסופט מוציאה הן לא קריטיות,
והכל כמובן ביגלל ה firewall החדש(ישן) שהם הוציאו ב SP2 ..

כל ה"פריצות" הנ"ל מאופשרות רק ע"י הרצת קוד/תוכנה/וכו' ע"י המשתמש,
הייתי אומר שמצב המישחק השתנה,
עכשיו אנשים תוקפים תוכנות פנימיות כמו wordpad או notepad וכו' על מנת להצליח לפרוץ,

בהחלט עליית מדרגה מצד מיקרוסופט.

תודה על העידכון.

זה נכון...

הרי בסופו של דבר, פרצת אבטחה מרוחקת הייתה מאז ומתמיד ניצול של חור כלשהו, ע"י הרצת קוד זדוני כתוצאה מ- buffer overflow בתוכנה כזו או אחרת.

למה זה היה מסוכן יותר עד כה, בעצם? כי פרוססים מסויימים שהיו פתוחים בדיפולט איפשרו את הפרצות, כמו Blaster ו- Sasser. כל פיירוול, אפילו הפשוט ביותר, חוסם גישה לפורטים, וכמובן שלא מאפשר ביצוע של קוד זדוני מרחוק. כל מי שהיה לו פיירוול בתקופה שבה התפרץ הבלאסטר, היה מוגן.

היום כשה- SP2 דורשת את הפיירוול, ומנדנדת אם הוא לא מופעל, ירד הסיכוי שיהיה אפשר לבצע bind shell לפרוססים שעדיין פתוחים החוצה. לכן, כל מה שבאמת נשאר לפורצים לעשות, זה לבדוק איפה בתוכנות של מיקרוסופט "שחכו" לבצע בדיקת מגבלות לחוצץ זה או אחר בתוכנה, וכמובן לכתוב קוד זדוני מתאים לכך...

קצת באיחור, אבל באמת כל הכבוד!

אפילו אם נניח חוסר יכולת בתכנות (כפי שהוכח בעבר), יכלו לבצע רכש של חברה אחרת (כמו שעשו עד היום לרוב הדברים המוצלחים שיש בחלונות), ולא עשו זאת - מעניין מדוע.

הפיירוול לא יעזור נגד שירותים שחייבים לעבוד, ועבור האנשים שחייבים מיקרוסופט, הם בדרך כלל חייבים את זה בגלל השטויות האחרות שרק מיקרוסופט נותנת - כלומר IIS ושות', ואז הפיירוול לא עושה כלום, כי את זה הוא מאפשר. עד שלא יהיו שרתים אמינים מבית מיקרוסופט, שום פיירוול לא יעזור למגזר העסקי.

נמאס לכם לזכור סיסמאות? לחצו כאן!

הרי אין ספק שלחברה ענקית כמו מיקרוסוף () יש צוות QA רחב מאוד. ואין ספק שכל מוצר עובר בסופו של דבר QA מסוים לפני שיוצא החוצה.

לפי דעתי במיקרוסופט פשוט הקטינו ראש, ואמרו "אף אחד לא ינסה באמת לראות מה לא בסדר עם הפרוססים שלנו". הם טעו, בגדול. אבל בכל מקרה, הכלים תמיד היו שם - הפיירוול היה קיים בווינדוס - הוא פשוט היה מכובה. הפאצ'ים נגד בלאסטר וסאסר היו שם לפני שה- PoC הפך לתולעת, פשוט הווינדוס אפדייט לא היה מופעל באופן אוטומטי. בגדול, הכלים היו שם מאז ומתמיד, פשוט הם לא היו מודגשים מספיק לאותם האנשים שלא ידעו למה הם מיועדים...

לא מבין את זה LOL .
תגיד נראה לך שחברה כמו מיקרוסוט (שדרך אגב מוציאה מוצרים מדהימים למשתמש הביתי)
לא יכולה לקנות חצי מליון גאוני תיכנות ואבטחה (כמוך) ותוך שנה לסגור את כמעט כל הפרצות ?!
נראה לך שלפני 7-6 שנים הם לא יכלו לעשות את זה ?
פחחחח הצחקת אותי , הם מוציאים מערכת בלתי מוגנת בעליל (89) נותנים לכל מיני גאונים לקטול אותה
ולהלל את המפלצת האנטי-חברתי לינוקס , כעבור כמה שנים (2K) מוציאים מערכת יותר טובה למשתמש
וגם יותר בטוחה ככה גם מראים התקדמות וגם ממשיכים עם הוויכוח על רמת האבטחה .
בנתיים הוויכוח ממשיך הנושא באור הזרקורים , לינוקס (ז"א מפתחי הקוד הפתוח כמוך) מנסה
בכל דרך אפשרית להידמות למוצר של מיקרוסופט , ומיקרוסופט מוציאה כל כמה זמן עוד עדכון ועוד שיפור . . . תוך כדי שמי ששומר את שמה בכותרות הם דווקא אנשים כמוך , וכל אשכול כמו זה שבו
אתה צועק ומגיב רק קונה עוד חסידים למיקרוסופט .
לסיום שלא יהיו אי הבנות עם אני מריץ שרת דואר או ווב אני בהחלט אקח מוצר של קוד פתוח
אם אני מתקין לדודה שלי מערכת לבית אני אתקין מוצר של מיקרוסופט (למרות העלות)
ונושא האבטחה . . . הוא יחכה , בגלל שכמעט לאף אחד אין כוח לשבור את הראש עם לינוקס
ביחוד שכל כמה זמן מיקרוסופט אומרת "תראו הנה הוצאנו עוד טלאי אבטחה חדש לבקשתכם "
ותודה למקטרגים

למרות שעדיין לא הבנתי בעד איזו מערכת אתה (חלונות המהוללת או לינוקס הנבזית) אני חושב שכדאי לך להיזכר בכמה עובדות קטנות
1. חלונות היא מערכת הרבה יותר נפוצה למשתמשי קצה
2. הרבה יותר כיף לשנוא את מיקרוסופט, כי המערכת הפעלה שלהם עולה יותר כסף
3. הרבהיותר קל לפרוץ למערכת שחברה סגורה עם אלפי מתכנתים מטפלים בה, מאשר למערכת שמאות מליוני תוכניתנים מסביב לעולם מפתחים.

מיקרוסופט אמנם לא הפנימו את כל נושא האבטחה עד ליציאת חלונות 2000 והגדילו את היכולות בחלונות 2003.
כל האפשרויות להגן על המחשב שלך תמיד היו שם, אבל שום דבר לא היה משופעל בצורה דיפולטית, ככה זה גם במערכת לינוקס אם אני לא טועה ובכול מערכת הפעלה שאני נפגשתי בה.

2. אני לא שונא את מיקרוסופט, אני שונא את חלונות, או ליתר דיוק, לא סובל אותה. מה לעשות, אני איש סיסטם, וככל שזה נוגע לסיסטם, חלונות SUCKS, אין מילה אחרת. אם יש מישהו שחושב אחרת (שיותר נוח לנהל חלונות מ UNIX), כנראה שהוא לא ניהל רשת UNIX מימי חייו, או לחלופין, שה"רשת" windows שיש לו פשוט מיותרת (ולכן גם התפקיד שלו, כמנהל הרשת, מיותר)...
3. השאלה היא לא כמות המתכנתים אלא צורת החשיבה (אני מדבר על הבאגים הקריטיים), וכמה אנשים רואים את הקוד, לא כמה אנשים מתכנתים אותו.

מיקרוסופט עדיין לא הפנימו את נושא האבטחה אם הדבר שנקרא ActiveX עדיין קיים.

לגבי זה שכל אפשרויות האבטחה היו קודם, אני אשמח לשמוע איך אני חוסם רק את פורטים 135-139 בחלונות 2000. ניסיתי וניסיתי וכל מה שהצלחתי לעשות זה "לחסום הכל חוץ מ..." כלומר מיקרוסופט רוצה שאני אוסיף שם לרשימה את פורטים 1-134 ו 140-65535... ידנית עם הכפתור ADD... מילא היה אפשר לעשות copy+paste מאקסל (שכנראה אאלץ לרכוש עותק שלה אם אני רוצה ליצור רשימת מספרים באופן אוטומטי...) עם יוצר המספרים האוטומטי שלו...

בלינוקס בדיפולט (לפחות ברדהט ובג'נטו), או שאין שירותים מופעלים כלל, או שיש שירותים אך יש פיירוול בברירת מחדל.

נמאס לכם לזכור סיסמאות? לחצו כאן!

אפילו אם הם מנהלי רשת חלונות.
אני לא ירדתי עלייך ועל העבודה שלך, אל תתחיל קרב התנצחויות כי זה לא ייגמר טוב.

חבל היה לי לקרוא את התגובה שלך, וחבל לי יותר שהחלטתי לחשוב פעמיים ולמחוק את התגובה שלי. אבל הוויכוח הזה הוא לא מעיינו של הפורום.

אני לא סתם לא סובל את זה, ואני בהחלט חושב שהעבודה שלי לא הייתה קיימת אם מערכת אחרת הייתה מותקנת במקום AD... אז הנה, העלבתי גם את עצמי...

נ.ב. חלק גדול ממה שעושה התעשייה היום, זה להשתדל לתת למכונות לעשות לבד מה שאנשים עשו בעבר באופן ידני. אני לא מבין ממה יש להעלב בזה שאומרים לך שהיה ניתן לעבוד אחרת, עם עלויות פחותות...

נמאס לכם לזכור סיסמאות? לחצו כאן!

וברגע שאתה מגיע אלי ואומר לי "תשמע.. אתה מיותר" בלי שאין לך מושג מה אני עושה ומה אני יודע, אז, טוב, תשלים לבד.

מיכון של הפעולות זה דבר שעושים כבר משנות ה80 כשהתחילו לבנות מחשבים נורמלים.
אם אתה רוצה לדבר על חלק גדול ממה שעושים היום אז זה בעיקר העברת מרכז כובד העבודה לשרת, ראה ערך DNS, AD, GP, כל הדברים שפעם היו על הקליינטים עוברים לניהול של השרתים, דבר שבמערכת חלונות התחיל הרבה לפני יוניקס, ובזכות תוכנות צד שלישי דברים כמו ניהול משתמשים נהיה דבר הרבה יותר פשוט.

נכון, היום יוניקס נותן לך כלים פשוטים יותר לעשיית דברים, אבל להגיע מדבר כזה להצהרה שכל מי שעובד על מערכת חלונות - העבודה שלו מיותרת?
אני לא יודע אם לצחוק, לבכות, או להגיד לך את דעתי

שאם אותו מנהל רשת חלונות היה בונה את הרשת שלו עם שרתים יוניקסיים, הדבר היחיד שהוא היה צריך לעשות בעבודה זה לגלוש באינטרנט (להנאתו/מתוך שעמום), ולהמתין לתקלת חומרה, שזה הדבר היחיד שיגרום לבעיות ברשת שלו אם היא מקונפגת נכון (ובסוף תמיד מגיעים לזה ברשת יוניקסית). מישהו צריך לנהל את הרשת למקרה של בעיות שאינן בעיות תוכנה בכל מקרה (ולכן לא רמזתי לפיטוריו של אף אחד, חו"ח), ולדעתי זה יותר כיף שבזמן העבודה אתה חופשי לעשות דברים אחרים (כמו ללמוד, לשחק סוליטייר, לגלוש בפרש, וכו', מה שבא לך), מאשר להתעסק כל הזמן עם אנשים שהסיסמא שלהם לא עובדת, כשהמחשב טוען שהחשבון נעול, ושאתה בודק ב ADUAC, אתה רואה שהוא לא...)

אתה כמובן צודק שזו דעתי האישית בלבד, שמתבססת על הניסיון שלי בלבד (בשתי מערכות ההפעלה), וזכותו של כל אחד לומר את דעתו (וזכותם של האחרים לא להסכים איתה).

נמאס לכם לזכור סיסמאות? לחצו כאן!

יש לי חבר שהוא מומחה יוניקס רציני (אפילו יותר ממני...) והוא עובד בתחזוקת שרתי לינוקס לחברות גדולות בכל העולם וגם בישראל. הוא גם מתחזק את השרת שלי (עדיף לי כי אין לי זמן להתעסק עם זה כיום). הוא אפילו לא צריך להיות פיזית ליד השרת. זה לא WINDOWS, הוא שולט מרחוק על כל השרתים, מתקין עידכונים לכל התוכנות, עושה RESET למחשב, מקמפל את הקרנל (אם זה לינוקס) והכל מהבית שלו או מהמשרד שלו. פעם במאה שנה הוא יוצא לתקן בעיות כתוצאה מתקלת חומרה או שהוא משכיר פרילנס זמנית כדי לתקן תקלות חומרה (אם זה בחו"ל או רחוק ממנו). הוא בחיים לא ראה פיזית את 80 אחוז מהשרתים שהוא מתחזק כל יום. תאמת שלפעמים שיש לי זמן אני גם מתחזק את השרת שלי בעצמי. לרוב "התחזוקה" שלו זה להריץ את תוכנת העידכון האוטומטית שמעדכנת את כל התוכנות שיש עליו בפקודה אחת בודדת ורק נשאר לי לראות שהכל עבר בשלום. כמובן שאין לי צורך פיזית להיות ליד המחשב. למעשה ראיתי את השרת שלי פיזית רק פעמיים (כשקניתי אותו וכששמתי אותו אצל ה-ISP) אבל אני משתמש בו יום יום. אגב לפני שמעריצי חלונות יתקפו אותי, אז אני כן משתמש ב-XP בבית ובעבודה אבל בבית בעיקר בתור מסוף לשרת לינוקס שלי בקיצור, אני מבין את מי שמשתמש ב-XP בתור תכנת עבודה אבל חלונות בתור שרת?!?!? צריך להיות כל כך לא מבין במחשבים כדי לעשות את זה וגם לשלם יותר.

תודה!

גם אני לא ראיתי את השרתים שלי, וכולם שרתי חלונות
כן, כולם עברו עדכונים
כן, את כולם התקנתי מרחוק
וכן, בכולם אני מטפל מהנוחות של הכיסא שלי במשרד.
מה גרם לך לחשוב שאפשר לעבוד עם שרתים אחרת?

אני עובד בבית עם WINDOWS XP כך גם רוב העולם , באם ישנו צורך להקים שרת
כל שהוא ; דואר , ווב , שרת ניתוב או השם יודע מה אבחר במערכת מבוססת קוד פתוח
הציניות שלי היא כלפי תגובות מצחיקות מעדת שונאי מיקרוסופט , שהם למעשה
השגרירים שלה , הם משאירים את שם המותג באוויר , הם מעלים לדיון את הבעיות הקיימות
במוצר ונותנים במה לכל שידרוג מערכת שמיקרוסופט מוציאה .
לצורך העיניין נקח את האשכול הזה (או כל אשכול אחר בנושא ) ההודעה המקורית היא
על תיקון אבטחה חדש שיצא , מייד קופץ מישהוא וצועק כמה דפוקה יכולה להיות מערכת
שבכלל צריכה את העדכון הזה בלה בלה בלה לינוקס בלה בלה בלה יוניקס בלה בלה בלה
בוא נראה נכון לעכשיו (16:42) צפו באשכול זה 105 איש , אני שם את ראשי בהימור שליותר
מ 80% מהם יש מערכת תוצרת מיקרוסופט על המחשב ( ואני צודק בגדול ) , ואני שם את ראשי
שהמסר הגדול של אשכול מה שישאר בתודה של אותם 105 צופים בדף הוא " היתה בעיה מיקרוסופט
תיקנה אותה " ( וגם הפעם אני צודק ) .
כל מי שמגיב לאשכול עוזר לו להישאר בראש הפורום כך שלא משנה מה היא הביקורת ( ובמקרה זה היתה הביקורת מגוחכת ) רק עוזר לקבע בתודעה הציבורית את השיפור של מערכות ההפעלה מבית מיקרוסופט .

אני בהחלט מסכים עם הנקודות (1,2,3,) שהבאת ;-)

כמו שלא התקנו את SP2 וכל מה שיצא עכשיו ככה גם נתעלם מה-"תיקונים" שמקלקלים תוכנות ישנות או שלא רצות על מחשבים שזקנים משנה. כמיקרוסופט החליטה לעבור לניסוי "דפוק לגמרי תמיכה בתוכנות קודמות" אז אני נשארתי מחוץ לניסוי. קודם שיתקנו את כל הבאגים שה-"תיקונים" שלהם עושים ושיחזירו את התמיכה בתוכנות שיצאו לפני SP2 ואז נדבר. שכמיקרוסופט התחילו להגיב לבעיות ב-"זה בעיה שלך ואם זה לא עובד זה בגלל שהמחשב שלך הוא מלפני שנה" אז הבנתי שלא כדי לי לעדכן. לא סתם כולם נשארו עם SP1.

תודה!

הבעיה האמיתית של מיקרוסופט ווינדוס בפרט, חברת מיקרוסופט לא השכילה להפריד בין מדיניות הפירסום והעצמת כוחה ושמה של החברה, לבין יעילות המוצרים, ולכן, כל מוצרי מיקורסופט כמעט ללא יוצר מן הכלל, נבנו באסטרטגיה של מעצמה, מתוך הסתכלות כאילו כל תוכנה היא בעצם עולם שלם ומלואו, ולכך גם צורת עבודת התוכנה בנויה באופן מוזר על פי ההסכלות הזו.

וזו גם הסיבה שבכל תוכנה הפשוטה ביותר, נדחסו כל הרכיבים המצויים בארכיוני מיקרוסופט, עם ובלי קשר למטרת התוכנה, ולצרכי המשתמשים, מה גם שברוב המקרים הדגש העיקרי בתוכנה ניתן לרכיבים הפחות נצרכים וחשובים למשתמש.
ולכן, מטבע הדברים כשכל כך הרבה דברים שלא קשורים לדבר העיקרי, נדחסים בכוח למקום שהם לא צריכים להיות, הבעיות מתחילות לצוץ ללא הרף, וזו הבעיה העיקרית של מיקרוסופט, במקום לפשט את התוכנות, לתת מענה ישיר למשתמש בדיוק לצרכים שלו בכל רגע נתון, זורקים לפניו אוסף אדיר של תוכנות ופונקציות, ואומרים לו - תקרא קודם את המדריך לוינדוס סרבר 600 עמודים, אחר כך את כל סיפרות האופיס - 1800 עמודים, אחר כך באופן כללי תקרא את כל מה שמופיע באתר של מיקרוסופט + הפורומים, ואז אם תתקין אנטי וירוס + פיירוול + 10 תוכנות הגנה שונות, תהיה מוגן, כי התוכנות של מיקרוסופט הן הטובות ביותר בעולם...
בכל אופן, אני אישית כשאני מתקין למישהו מערכת הפעלה, אני מודיע מראש, מחשב שאמור להתחבר לאינטרנט, אין לי שום אחריות עליו.
לא התקנתי הרבה שרתי UNIX, אבל אלו שהתקנתי מעולם לא היתה בעיה.
אישית אני משתמש בתוכנות של מיקרוסופט, כי עדיין יש דברים שזו הדרך הנוחה ביותר בשבילי לעשות, אבל אם היתה לי אופציה אחרת, לא הייתי מסכן את הנתונים שלי...

וזו היתה ללא ספק ההודעה הכי רדודה באשכול