Especialistas alertam para exploit de falha no RPC do Windows

Arquivo do Clipping 2003

04 de agosto de 2003

Veículo: Módulo Security Magazine
Autor: Luis Fernando Rocha

Em 16 de julho, a Microsoft disponibilizou atualizações de segurança para as versões do Windows NT 4.0, NT 4.0 Terminal Services Edition, 2000, XP e Server 2003, devido a descoberta de vulnerabilidades críticas de sobrecarregamento de buffer na implementação do serviço RPC (Remote Procedure Call).

Passadas duas semanas após a divulgação dessa falha, dois importantes centros de segurança lançaram alertas sobre o aumento de atividades de exploração de tais vulnerabilidades. Primeiro foi o CERT, que divulgou dois advisories: um dissecando a falha (em 21/07) e outro (em 31/07) relatando o aumento de notificações de incidentes de segurança relacionados com o problema.

O segundo alerta vem do Departamento de Segurança (Homeland Security) do governo americano, recomendando aos administradores de sistemas que atualizem urgentemente os sistemas que rodam em Windows, "devido aos riscos de estragos maiores que os causados pelo CodeRed, por exemplo".

Segundo Cristine Hoepers, analista de segurança sênior do grupo brasileiro NIC Br Security Office (NBSO), o fato de a vulnerabilidade ser considerada de alto risco envolve vários motivos.

"Entre eles, pela grande quantidade de máquinas potencialmente afetadas, uma vez que esta vulnerabilidade afeta máquinas rodando Windows NT, 2000 e XP, com versões recentes desses sistemas; por já contar com um exploit funcional e que está sendo amplamente utilizado para comprometer estas máquinas ou causar ataques de negação de serviço; e pela grande quantidade de usuários domésticos, sem necessariamente cultura de segurança, que são afetados pelo problema", explica.

Para a especialista, o alerta é fundamental para os usuários domésticos, especialmente àqueles que utilizam conexões de banda larga, pois suas máquinas permanecem maior tempo conectadas à Internet.

Atividade no Brasil

No alerta CA-2003-19, o CERT informa que recebeu muitas notificações sobre atividades de scan e exploração dessa falha. Cristine Hoepers, do NBSO, diz que o grupo detectou algum tipo de atividade maliciosa relacionada com esta vulnerabilidade na rede brasileira.

"Houve um aumento nos relatos de varreduras à procura das portas 135/TCP e UDP recebidos pelo NBSO. Também recebemos notificações de que máquinas brasileiras já estão sendo comprometidas pelo exploit publicado", revela.

Recomendações

Segundo Hoepers, o NBSO indica que todos os usuários de sistemas Windows sigam as recomendações do CERT sobre o assunto. "Isto é, que atualizem os sistemas tão rápido quanto possível e que, se possível, bloqueiem o tráfego para as portas 135/TCP, 135/UDP, 139/TCP, 139/UDP, 445/TCP e 445/UDP na borda de suas redes", relata.

A especialista diz que há uma versão em português do Advisory com as recomendações do CERT, disponível em:

CERT® Advisory CA-2003-16 "Buffer Overflow" no Microsoft RPC