0-day per Windows DirectShow

[Gennarino]

Attenzione ai siti che aprite, in particolare quelli che contengono video e sono basati su Windows Media Player, infatti e' stata rilevata una vulnerabilita' 0-day che interessa una particolare libreria DLL di Microsoft.

Source: http://www.cyberdefence.eu

[Ignorante Informatico]

Originariamente inviato da Gennarino

..Source: http://www.cyberdefence.eu

Grazie per la segnalazione

Il mio personale consiglio è quello di evitare l'apertura diretta di file multimediali con WMP, soprattutto su siti non molto conosciuti. Fortunatamente, esistono lettori alternativi in grado di garantire sia un'ottima visione dei filmati sia una sicurezza maggiore.

[Gennarino]

Il problema con questa vulnerabilita' e che anche VLC (per citarne uno) si appoggia a quella libreria per aprire i files wmv

Quella libreria e' sfruttata dai tuner tv e da altre applicazioni che richiedono il DirectShow per funzionare.

[Ignorante Informatico]

Originariamente inviato da Gennarino

..che richiedono il DirectShow per funzionare.

Non avevo colto questa cosa. Ringraziandoti nuovamente per la precisazione, direi che è una bella grana, allora

[GmG]

Originariamente inviato da Gennarino

Il problema con questa vulnerabilita' e che anche VLC (per citarne uno) si appoggia a quella libreria per aprire i files wmv

Quella libreria e' sfruttata dai tuner tv e da altre applicazioni che richiedono il DirectShow per funzionare.

La vulnerabilità viene sfruttata attraverso un activex di IE e non con un file wmv malformato.

Microsoft DirectShow MPEG2TuneRequest ActiveX Control Buffer Overflow
http://secunia.com/advisories/35683/

L'exploit è diffuso sopratutto in cina (sita hackerati)

L'exploit è stato diviso in due file per eludere gli av

1a parte
http://www.virustotal.com/it/analisi...632-1246904023
2a parte
http://www.virustotal.com/it/analisi...498-1246899946

altro exploit
1a parte
http://www.virustotal.com/it/analisi...c5b-1246901533
2a parte
http://www.virustotal.com/it/reanali...1e5-1246906190

[Ignorante Informatico]

Originariamente inviato da GmG

La vulnerabilità viene sfruttata attraverso un activex di IE e non con un file wmv malformato..

Meno male

[Gennarino]

Originariamente inviato da GmG

...snip...1a parte
http://www.virustotal.com/it/analisi...632-1246904023
...snip...

Questo e' davvero interessante:

Microsoft 1.4803 2009.07.06 Exploit:JS/ShellCode.gen

Microsoft (penso si riferisca al Malware Removal Tool) riconosce la prima parte del primo exploit, ma non riconosce la seconda, ne tantomeno l'altra versione...