Veille Technologique Sécurité - cert devoteam

Avril 2001
C’est probablement pour cette raison que ce document restera une référence dans l’art et la manière de sécuriser (ou
plus exactement renforcer) un système d’exploitation Windows 2000.
Complément d'information
http://www.systemexperts/com/win2k.shtml
http://www.systemexperts.com/win2k/hardenW2K11.pdf
TECHNIQUES
CHALLENGE ARGUS SYSTEMS
Description
Le 5 ième défi initié par la société Argus Systems concernant son logiciel d'isolation 'PitBull' a été remporté par un
groupe de 4 hackers Polonais. Dans son communiqué de presse, et contrairement aux habitudes, Argus fait le
panégyrique du 'professionnalisme' ce groupe portant le doux nom de LSD, acronyme bien connu de … Last Stage of
Delirium …
Dans les faits, la lecture de ce communiqué de presse est d'autant plus intéressante que le rapport écrit par LSD,
détaillant les principes mis en œuvre, n'est pas publiquement accessible pour des raisons déontologiques. L'analyse
des événements à l'origine du succès de l'attaque menée par LSD proposée par Argus Systems est cependant
suffisamment détaillée pour déterminer la vulnérabilité exploitée !
As a conscientious member of the security community, Argus owes a professional obligation to operating
system vendors supporting the Intel x86 architecture - the most widely-deployed system architecture in the
world. Via the LSD exploit, Argus has become aware of the vulnerability in the architecture and must notify
system vendors and afford them an opportunity to take corrective action if necessary prior to Argus releasing
the details of this exploit. Complete details will be delivered to the public domain as soon as our professional
obligations have been satisfied.
Notons qu'Argus Systems utilise ce communiqué pour exposer sa doctrine largement inspirée par le rapport 'The
Inevitability of Failure: The Flawed Assumption of Security in Modern Computing Environments' déjà mentionné à
propos de 'LINUX SE'.
This successful exploit is concrete and dramatic validation of the message we have been trying to deliver to the
market, namely: operating system security is absolutely mandatory in today's environment. Users
cannot even dream of securing their sites without immediate and appropriate consideration of
operating system security.
Le défi lancé mi-avril consistait à acquérir des privilèges autres que ceux accordés au titulaire d'un compte licite. A
cette fin, un certain nombre de comptes libres d'accès ont été ouverts par Argus sur un système Solaris x86
sécurisé par PitBull.
En pratique, pour remporter ce défi, LSD a dû contourner la protection apportée par PitBull en attaquant au plus bas
niveau, c'est à dire celui de la gestion de l'architecture du processeur INTEL par le noyau du système d'exploitation
Solaris.
Il semble que LSD ait adapté son attaque pour tirer parti d'un problème 'subtil' dans la gestion des descripteurs de
contexte LDT (Local Data Table), problème ayant fait l'objet d'une alerte en environnement NetBSD.
A subtle bug in validation of user-supplied arguments to a syscall can allow allow user applications on the i386
platform to transfer control to arbitrary addresses in kernel memory, bypassing normal system protections.
Il s'agit probablement de l'alerte 'x86 USER_LDT validation' publiée en février 2001. Cette alerte n'a jamais fait l'objet
d'une reprise dans un environnement autre que NetBSD et pourtant LSD vient de démontrer qu'au moins un autre
système est vulnérable …
Complément d'information
http://www.argus-systems.com/events/infosec/#Rules
http://www.lsd-pl.net/aboutus.html
http://www.linuxsecurity.com/advisories/netbsd_advisory-1157.html
ADMMUTATE
Description
L'annonce, en début de mois, de la disponibilité d'un outil permettant d'échapper aux mécanismes de détection
d'intrusion (IDS) a fait l'effet d'une bombe dans la presse spécialisée provoquant une réponse 'laconique', voire
'fallacieuse', de la part de certains éditeurs.
Le coupable est 'ADMMutate', une librairie développée par un hacker canadien, connu sous le pseudonyme de K2
(du nom d'un célèbre sommet de l'himalaya), membre du groupe ADM, groupe à l'origine de nombreux outils
d'attaques 'remarquables' dont le vers ADMw0rm (Mars 1999).
En pratique, 'ADMMutate' exploite une faiblesse inhérente à la génération actuelle des systèmes de détection
d'intrusion: l'utilisation d'une stratégie basée sur la recherche d'une signature connue et invariante. A ce titre,
et sans vouloir encenser la communauté des hackers, force est de constater que la polémique déclenchée autour de
cet 'outil' aura permis de faire prendre conscience des limitations des produits d'IDS. Il est fort probable que de
nouvelles stratégies d'analyses soient rapidement intégrées dans ces produits, reproduisant le phénomène constaté il
Veille Technologique Sécurité N°33 Page 40/59
© APOGEE Communications - Tous droits réservés Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE