Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit
GELÖST

Kritischer Bug in Host Intrusion Prevention System von CA Internet Security, CA Personal Firewall...

Frage Sicherheit

Mitglied: gnarff

gnarff (Level 2) - Jetzt verbinden

18.11.2006, aktualisiert 07.01.2009, 4789 Aufrufe

Sicherheitsanfaelligkeit in den Host Intrusion Prevention System-Treibern von Computer Associates gibt eingeschraenkten Benutzern Kernel-Rechte!

Die Treiber kmxstart.sys and kmxfw.sys weisen diverse Sicherheitsanfaelligkeiten
hinsichtlich einer local privileg escalation auf.

Dadurch wird auch nichtprivilegierten Benutzern die Moeglichkeit gegeben, einen beliebigen, schaedlichen Code im Kernelmodus auszufuehren,
d.h. mit Ausfuehrungsrechten; dem Zugriff auf den gesamte Systemspeicher
und alle Prozessorbefehle.

Die oben genannten Treiber arbeiten zusammen
mit dem Transport Driver Interface [TDI],
einer Schnittstelle die zwischen Dateisystemtreibern
und den Transportprotokollen eingesetzt wird und NDIS, welches u.a eine Funktionsbibliothek zur Verfuegung stellt, sogenannte "wrapper" die von den
Media Access Controller [MAC]-Treibern benutzt werden, aber auch von den Treibern auf hoeherer Protokollebene; TCP/IP.

Vereinfacht dargestellt; kmxstart.sysund kmxfw.sys realisieren Callbacks innerhalb NDIS- und TDI-Hooked Systemen.
Durch Anwendung einer zugelassenen Handle Input/Output FunKtion [IOCTL] kann ein Benutzer,
auch ohne Rootrechte, ueber die o.g. HIPS-Treiber die Function pointer ueberschreiben und schliesslich einen beliebigen Code im Kernelmodus ausfuehren lassen.

Das gibt dem Benutzer u.A. die Moeglichkeit Rootkits in das System einzuschleusen.

Computer Associates arbeitet gegenwaertig an einem Patch

Eine aehnliche Sicherheitsanfaelligkeit ergibt sich uebrigends auch bei Kapersky-Produkten.

[Original Advisory by Ruben Santamarta vom ReverseMode-Team, in
bugtraq vom 16.11.2006,11:15 AM]

Links:

1.Advisory "CA HIPS Drivers - Multiple Privilege Escalation Vulnerabilities"
Download im PDF-Format:
http://www.reversemode.com/index.php?option=com_remository&Itemid=2 ...

2. Download CA Kmxfw.sys Treiber-Exploit:
Datei: CA-kmxfw-exploit.zip
http://www.reversemode.com/index.php?option=com_remository&Itemid=2 ...

3. Download CA Kmxstart.sys Treiber-Exploit
Datei: CA-kmxstart-exploit.zip
http://www.reversemode.com/index.php?option=com_remository&Itemid=2 ...

saludos
gnarff
Ähnliche Inhalte
Netzwerkgrundlagen
gelöst Kleines Büro. Welches Firewall-Setup sinnvoll? (7)

Frage von Juergen248 zum Thema Netzwerkgrundlagen ...

Router & Routing
Packet Tracer und RIP BUG? (3)

Frage von Protected zum Thema Router & Routing ...

Windows 10
Windows 10: Microsoft behebt DHCP-Bug (1)

Link von runasservice zum Thema Windows 10 ...

Neue Wissensbeiträge
Windows Server

Umstellung SHA 1 auf SHA 2 - Migration der CA von CSP auf KSP

Tipp von Badger zum Thema Windows Server ...

Windows 10

Quato DTP94 unter Windows 10 x64 installieren und verwenden

Anleitung von anteNope zum Thema Windows 10 ...

Windows 10

Win10 1703 und Nutzerkennwörter bei Ersteinrichtung - erstaunliche Erkenntnis

(15)

Erfahrungsbericht von DerWoWusste zum Thema Windows 10 ...

Heiß diskutierte Inhalte
Windows 7
Bluesreens unternehmensweit (18)

Frage von SYS64738 zum Thema Windows 7 ...

Server-Hardware
HP DL380 G7: Booten vom USB via USB 3.1-PCI-e Karte möglich? (17)

Frage von Paderman zum Thema Server-Hardware ...

LAN, WAN, Wireless
IP Adressen - Modem - Switch - Accesspoint (17)

Frage von teuferl82 zum Thema LAN, WAN, Wireless ...

Festplatten, SSD, Raid
gelöst Raid-Controller (Areca) Datenverlust trotz R5 (16)

Frage von sebastian2608 zum Thema Festplatten, SSD, Raid ...