Dos nuevos agujeros que consiguen una Denegación de Servicio en Windows NT han salido a luz. Por su parte, el reciente Service Pack 4 se muestra insuficiente una vez más para solucionar estos problemas.
Se esperaba el Service Pack 4, como la solución que podía resolver todos los problemas de seguridad en torno a NT. Los administradores llevaban mucho tiempo esperándolo, pero cuando por fin Microsoft publica este parche, parece que no representa la solución deseada y cada día aparecen nuevos problemas que se muestra incapaz de resolver.
En esta ocasión le ha tocado el turno a dos conocidos exploits de sendos componentes de NT. El NT Spooler Service (spoolss.exe) y el Local Security Authority SubSystem (LSASS). Ambos ataques requieren accesos a puertos usados específicamente por sistemas Windows (TCP y UDP 135-139), que deberían ser bloqueados por el firewall de la empresa. Todo usuario que bien desde dentro de la empresa, o desde fuera tenga acceso a dichos puertos, podría causar desde problemas simples, hasta situaciones críticas en los servidores NT.
La vulnerabilidad del servicio del spooler del NT, conocida como spooleak, se aprovecha de un agujero, perfectamente documentado, en la memoria del spooler de impresión de NT. El cual se encarga de procesar los trabajos enviados por los clientes a la cola de impresión del servidor. Conectando con el spooler vía un pipe con nombre y enviando datos al azar, se puede explotar el agujero de la memoria y hacer que el spooler (spoolss.exe) ocupe al 100% los recursos de la CPU bloqueando el servidor.
Por defecto, esta conexión debe ser inicializada sobre una sesión nula, lo que significa que incluso los usuarios sin autentificar pueden hacer uso de este agujero. Para desabilitar el ataque sobre una sesión nula se debe borrar la línea “SPOOLSS” de la clave HKeyLocalMachine\System\CurrContrlSet\Services\LanmanServer\Parameters\NullSessionPipes(REG_MULTI_SZ) del registro. Aun así, esto no evitará que los usuarios autentificados sean capaces de atacar el servicio.
La segunda vulnerabilidad, es realmente un fallo posterior al SP3 que parece resurgir de nuevo. En su momento, se publicaron dos parches conocidos como «lsa-fix» y «lsa2-fix» que solucionaron numerosos problemas con LSASS. Este servicio realiza la autentificación de la password del login, pasada a través del proceso WinLogon contra el Security Account Manager o cualquier otro paquete de autentificación.
Uno de los problemas de LSASS ocurría cuando los clientes enviaban una petición malformada al LSA sobre un pipe con nombre, matando a lsass.exe e impidiendo así la conexión local a esa máquina. El archivo causante de todo esto fue identificado como el lsaserv.dll, y la versión parcheada que se encontraba en la Microsoft Knowledge Base en el artículo Q182918, resolvía el problema. Pero en la actualidad el SP4 introduce una nueva versión de esta dll que se muestra vulnerable al exploit. Como era de esperar, no se puede aplicar el antiguo «lsa2-fix» sobre el SP4.
Deja un comentario