PDA

View Full Version : 0-day per Windows DirectShow

Gennarino
06-07-2009, 18:11
Attenzione ai siti che aprite, in particolare quelli che contengono video e sono basati su Windows Media Player, infatti e' stata rilevata una vulnerabilita' 0-day che interessa una particolare libreria DLL di Microsoft.

Source: http://www.cyberdefence.eu
Ignorante Informatico
06-07-2009, 19:02
..Source: http://www.cyberdefence.eu
Grazie per la segnalazione :)

Il mio personale consiglio è quello di evitare l'apertura diretta di file multimediali con WMP, soprattutto su siti non molto conosciuti. Fortunatamente, esistono lettori alternativi in grado di garantire sia un'ottima visione dei filmati sia una sicurezza maggiore.
Gennarino
06-07-2009, 19:28
Il problema con questa vulnerabilita' e che anche VLC (per citarne uno) si appoggia a quella libreria per aprire i files wmv

Quella libreria e' sfruttata dai tuner tv e da altre applicazioni che richiedono il DirectShow per funzionare.
Ignorante Informatico
06-07-2009, 19:31
..che richiedono il DirectShow per funzionare.
Non avevo colto questa cosa. Ringraziandoti nuovamente per la precisazione, direi che è una bella grana, allora :doh:
GmG
06-07-2009, 19:45
Il problema con questa vulnerabilita' e che anche VLC (per citarne uno) si appoggia a quella libreria per aprire i files wmv

Quella libreria e' sfruttata dai tuner tv e da altre applicazioni che richiedono il DirectShow per funzionare.

La vulnerabilità viene sfruttata attraverso un activex di IE e non con un file wmv malformato.

Microsoft DirectShow MPEG2TuneRequest ActiveX Control Buffer Overflow
http://secunia.com/advisories/35683/

L'exploit è diffuso sopratutto in cina (sita hackerati)

L'exploit è stato diviso in due file per eludere gli av

1a parte
http://www.virustotal.com/it/analisis/f80b2689d255e60db430583a1991ff22f6508b27af7d87bca270dc5bf0099632-1246904023
2a parte
http://www.virustotal.com/it/analisis/3724e0c5d400897270bad9f6a415f780cac96839121a62ad849ba177d223b498-1246899946

altro exploit
1a parte
http://www.virustotal.com/it/analisis/bff469660ae6f37f81b2fa04ece195dc3752ab3ee9bfefb0c3e9143e6dc74c5b-1246901533
2a parte
http://www.virustotal.com/it/reanalisis.html?4bdbd148ea311deb48ffce8d36975ca1201a00eac179e912574f40b5f043c1e5-1246906190
Ignorante Informatico
06-07-2009, 19:50
La vulnerabilità viene sfruttata attraverso un activex di IE e non con un file wmv malformato..
Meno male :)
Gennarino
06-07-2009, 20:55
...snip...1a parte
http://www.virustotal.com/it/analisis/f80b2689d255e60db430583a1991ff22f6508b27af7d87bca270dc5bf0099632-1246904023
...snip...

Questo e' davvero interessante:

Microsoft 1.4803 2009.07.06 Exploit:JS/ShellCode.gen

Microsoft (penso si riferisca al Malware Removal Tool) riconosce la prima parte del primo exploit, ma non riconosce la seconda, ne tantomeno l'altra versione...