Les vulnérabilités RPC exploitables en UDP broadcast

Par Ludovic Blin, secuobs.com
Le 15/12/2003

---

Résumé : La société américaine Core Security averti de la nouvelle possibilité d'exploiter les vulnérabilités MSRPC, notamment à l'origine de Blaster, par l'intermédiaire du protocole UDP, y compris en mode broadcast. - Lire l'article



A la suite de la faille utilisée par le ver Blaster du mois d'août (MS03-026), plusieurs autres ont été découverte (MS03-043, MS03-049) dans l'implémentation du protocole RPC au sein de la plate-forme Windows. Alors que de nombreux utilisateurs, notamment ceux qui étaient protégés par un firewall au moment de blaster, n'ont pas appliqué le patch de Microsoft, la société américaine Core Security vient de publier une alerte indiquant la découverte de nouveaux vecteurs d'exploitation pour ces failles. Il apparait donc maintenant que ces vulnérabilités sont exploitables par l'intermédaire d'un grand nombre de ports (et non plus seulement du 135 utilisé par Blaster) comme par exemple des ports élévés assignés d'une manière dynamique (ainsi que les ports 139, 445 et 80 en TCP, ainsi que 135 UDP).

Aussi, et c'est la l'élément inquiétant de cette découverte, cette vulnérabilité peut être exploitée par l'intermédiaire du protocole UDP, y compris en mode broadcast. Les communication UDP ne sont pas soumises à l'établissement d'une connection, comme TCP et sont donc beaucoup plus faciles à spoofer. D'autre part, il est possible d'utiliser une adresse de broadcast (par exemple 192.168.0.255 pour le reseau de classe C 192.168.0.0/24) de manière à corrompre toutes les machines vulnérables d'un coup. Pour cela, les paquets de requête RPCv4 doivent avoir le bit "idempotent" positionné a 1. Enfin, une attaque par l'intermédiaire du port UDP permet de s'infiltrer au travers des firewalls car ceux-ci laissent souvent passer le traffic UDP en provenance d'un ou plusieurs serveurs DNS externe. Or, comme on l'a vu, il est possible de réaliser l'attaque en spoofant une adresse, et donc ici celle du serveur DNS de la cible.

Pour mémoire, c'est le protocole UDP qui avait notamment été utilisé par le ver SQL/Slammer au mois de janvier 2003, provoquant une propagation extrêmement rapide et des problèmes d'accès internet dans certaines régions du monde. En cas d'exploitation de ces nouveaux vecteurs par des créateurs de virus, on peut donc s'attendre à une nouvelle souche à propagation rapide. Il est donc plus que jamais nécessaire de mettre à jour tous les systèmes Windows (XP, 2000 et NT) .
Liens vers les patchs de Microsoft:

MS-03-001
MS-03-026
MS-03-043
MS-03-049